BTC 钱包风险检测与恢复评估 #1261

### 1. 一句话结论
钱包 1261（BTC，主地址 1CJmcx1TTdQuHRMn8F8aux9Ftqc1U8GEiH）当前链上余额约 324.05 BTC，业务标注“余额很小”为否；但截至目前**尚未获得明文密码/助记词/私钥**，破解验证未成功，仍需补充关键线索。

### 2. 我们掌握的事实（证据链）
- **钱包标识与格式**：钱包 ID 1261，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`，文件名为 `wallet_236.dat`（业务名 wallet_236BTC），文件大小 1,835,008 字节。
- **路径线索**：文件存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_236BTC_wallet_236BTC_wallet_236BTC_wallet_236.dat-eba9023ff870/`，目录名含“MEGA-BONUS”与“250_wallet”批量标识，暗示可能来自批量收集包。
- **时间记录**：录入时间 2026-06-23 00:41:52，数据标注日期 2026-06-23 00:57:34，最近更新 2026-08-09 12:50:05。
- **余额与标注**：当前余额 324.04580622 BTC；业务字段“余额很小(≤阈值)”= 否，说明余额规模未触发小额标记。
- **已知密码强证据**：字段 `cracked_password/actual_password` = 否，即**没有**任何已确认的明文密码证据。
- **链上交易统计**（依据 `wallet_transactions.direction`）：转出 107 笔，转入 339 笔；最后转出 2016-01-05，最后转入 2026-05-22；近 30 天转入/转出均为 0；交易跨度 5474 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `wallet_236.dat` 的 legacy 格式比特币钱包文件入手。文件路径显示它来自一个名为“MEGA-BONUS BITCOIN CORE WALLETS - 250”的批量数据集，说明这很可能是某个历史遗留的批量钱包包之一，而非个人单独提交。

我们首先核对了钱包的基本属性：确认是 `bitcoin_legacy_bdb` 格式，文件大小约 1.8MB，符合老版本 Bitcoin Core 钱包的典型体量。随后我们检查了业务标注：余额 324 BTC，且未被标记为“余额很小”，说明从金额角度看这是一个值得继续跟进的标的。

接着我们梳理了链上行为：转入 339 笔、转出 107 笔，最后转出停留在 2016 年初，而最后一笔转入发生在 2026 年 5 月。这个“转出停止很早、转入持续到近期”的形态，提示该地址可能经历了“早期活跃支出→后期只进不出”的阶段。

在凭证层面，我们核对了“已知密码存在”的强证据字段，结果为否。这意味着到目前为止，我们**没有**任何一条可验证的明文密码或助记词记录，所有关于“已破解”的说法都不成立。我们目前仍停留在“有钱包文件、有余额、但无凭证”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 107 笔，最后一笔发生在 **2016-01-05 10:54:57**。近 30 天转出 0 笔。说明该地址自 2016 年初起基本不再主动支出。
- **转入（receive）**：共 339 笔，最后一笔发生在 **2026-05-22 11:29:47**。近 30 天转入 0 笔。说明近期仍有过入账，但最近一个月内无新流入。
- **整体跨度**：交易时间跨度 5474 天（约 15 年），属于长期活跃地址。
- **未知项**：当前数据未提供每笔交易的金额、对手地址、余额随时间变化曲线，因此无法判断 324 BTC 是长期沉淀还是近期集中转入；具体资金流向细节需补充交易明细后再解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注方面**：该钱包余额为 324.04580622 BTC，业务字段“余额很小(≤阈值)”= **否**，即并未因余额过小而被降级处理。请注意，这个字段只反映“余额是否低于业务阈值”，与“是否破解成功”完全无关。
- **明文密码方面**：强证据字段 `cracked_password/actual_password` = **否**。因此必须明确：**我们尚未获得任何明文密码、助记词或私钥**，也没有任何验证成功的记录。所有关于“已拿到密码”的说法均不属实，当前仍处于“有文件、无凭证”的未破解状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该钱包的历史密码提示/备注**：查找原始数据集（MEGA-BONUS 包）是否附带说明文档、密码提示或注释。
2. **调取完整交易明细**（每笔金额、对手地址、时间），用于判断 324 BTC 的构成与最后转入来源。
3. **查找同批次“250_wallet”系列钱包**：确认是否同批其他钱包已被成功打开，若有，其密码策略可能相似。
4. **收集钱包文件创建时间线索**：通过文件系统元数据（如 inode 时间）或备份记录推测创建环境。
5. **排查常见历史备份位置**：如旧邮件、云盘、本地备份目录中是否有同名或同路径的 `wallet_236.dat` 副本。
6. **核对 2016 年前后的支出对象**：最后一笔转出在 2016-01-05，可结合链上数据反查当时用途，可能关联到钱包主人身份。
7. **检查是否存在多重签名或脚本约束**：确认该地址是否为普通单签地址，排除因脚本锁定导致的“非密码问题”。
8. **补充钱包版本与客户端日志**：若能提供 Bitcoin Core 版本号或 debug.log，有助于缩小密码生成规则范围。

### 7. 已尝试方向回顾（避免重复投入）
- **已核对基础字段**：确认了余额、格式、路径、时间戳、交易方向统计，排除了“余额为0”的误判。
- **已检查强凭证字段**：确认 `cracked_password/actual_password` 为否，不再重复假设“已破解”。
- **已做链上行为初判**：区分了转入/转出笔数与时间，确认近 30 天无活动，避免在“近期活跃”方向上浪费精力。
- **未重复投入的方向**：没有在缺少交易明细的情况下做资金流向臆测；没有在无凭证证据时宣称破解成功；没有对密码本身做任何猜测或还原尝试（遵守安全规则）。
- **建议不再重复**：单纯反复扫描同一文件而不补充外部线索（如批次文档、备份副本、交易对手信息）已无增量价值，下一步应聚焦于“文件之外的上下文信息”收集。