BTC 钱包风险检测与恢复评估 #1259

### 1. 一句话结论
这是一个持有约 4 BTC 的 Legacy 格式比特币钱包（ID 1259），目前**尚未获得明文密码**，但链上历史显示其在 2011-2014 年间有活跃的收发记录，最后一次转入距今已超过 10 年，属于典型的“沉睡老钱包”取证场景。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：`bitcoin_legacy_bdb` 格式，文件大小 57,344 字节，路径指向 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集，文件名为 `19sCR...QoDa.dat`。
- **余额状态**：当前余额 4.00043606 BTC，业务标注“余额很小”为**否**（即不适用小额豁免规则）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即没有强证据表明已拿到明文密码。
- **主地址**：`19sCR19UAdxCVPj6ATMGJV71J43X1wQoDa`，录入时间 2026-06-23，最近一次更新 2026-08-07。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转出（send）3 笔，最后转出时间 2011-08-14。
- 转入（receive）5 笔，最后转入时间 2014-07-12。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 1089 天（约 3 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入取证视野的，来源是一个名为“MEGA-BONUS_57 файлов”的多币种数据集。我们首先对文件本身做了格式识别，确认它是 Bitcoin Core 早期的 Berkeley DB（BDB）格式钱包——这类钱包的密钥管理体系与现代 HD 钱包不同，属于“老式私钥直接存储”的结构。

随后我们同步了链上数据，发现这个地址在 2011 年 8 月有过最后一笔转出，2014 年 7 月有过最后一笔转入，之后再无动静。结合当前余额约 4 BTC 且从未被移动，我们判断这大概率是一个“持有者遗忘或丢失密钥”的休眠钱包。

在密码验证层面，我们目前的状态是：**尚未获得明文密码**。也就是说，我们还没有找到任何一条可用的口令来解锁这个 BDB 文件。所有关于“是否破解成功”的结论，都必须以 `cracked_password` 字段为准——该字段当前为“否”，因此我们不能声称已突破。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 3 笔，最后一笔发生在 **2011-08-14**。这说明该地址在 2011 年曾主动向外支付过比特币。
- **转入（receive）**：共 5 笔，最后一笔发生在 **2014-07-12**。说明该地址在 2011-2014 年间陆续收到过资金，之后便不再有入账。
- **近期活动**：近 30 天转出/转入均为 0，链上已长期静默。
- **关于交易对手方、金额明细**：当前数据摘要未提供，**未知**，需补充交易列表字段才能进一步还原资金流向故事。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。该钱包余额为 4.00043606 BTC，业务标注“余额很小”为**否**，因此不存在“因余额过低而放弃”的业务前提。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为否，意味着我们尚未验证成功任何口令。所有关于“已破解”的表述都是不成立的。当前仍处于“持有加密文件、但无可用口令”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易列表**（含每笔金额、对手地址、时间戳），用于判断 4 BTC 是否由多笔小额合并而成，以及是否有已知交易所地址关联。
2. **查找同数据集内其他钱包文件**（MEGA-BONUS 57 个文件中可能包含同源助记词或相同口令的钱包），尝试横向比对口令复用情况。
3. **收集钱包文件自身的元数据**（如 BDB 内部创建时间、最后一次访问时间），辅助推断持有者操作习惯。
4. **检索公开泄露库中是否出现过该地址或文件名**（如 pastebin、github 历史），寻找可能的上下文线索。
5. **分析 2011-2014 年间的链上价格与交易时点**，判断转入/转出是否与当时市场大事件相关，辅助推测持有者身份。
6. **检查该地址是否曾参与已知服务商（如交易所、矿池）的找零地址模式**，以缩小口令猜测范围。
7. **获取钱包文件的哈希值**，与公开的“已知口令钱包样本库”比对，确认是否属于已被研究过的样本。
8. **补充“口令提示”或“文件名备注”类字段**（如果数据集内存在 readme 或注释文件），往往能提供直接线索。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与基础解析**：已确认是 `bitcoin_legacy_bdb`，并提取了主地址与余额，此路已通，无需重复。
- **链上活跃度分析**：已确认 2011-2014 年间有 3 次转出、5 次转入，且长期休眠，此结论已固化。
- **密码状态验证**：已确认 `cracked_password` 为否，说明常规口令验证路径尚未走通，后续应避免在无新线索的情况下反复尝试同一批口令。
- **小额豁免判断**：已排除“余额为 0 即放弃”的业务规则，确认该钱包值得继续投入资源。
- **下一步不建议**：在没有新增线索（如泄露库命中、同源文件比对结果）之前，盲目扩大口令字典范围属于低效投入，应优先补齐第 6 节中的外部情报类线索。