BTC 钱包风险检测与恢复评估 #1147

### 1. 一句话结论

钱包 `1PkAyUnswghVMxLaPq77vBYTrQj6XE5Lnd`（ID 1147）目前链上余额为 **33.03755686 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此无法确认资金是“可动”还是“已冻结/历史遗留”。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：BTC 地址 `1PkAyUnswghVMxLaPq77vBYTrQj6XE5Lnd`，钱包文件名为 `wallet_33,03.dat`，格式为 `bitcoin_legacy_bdb`（旧版 Bitcoin Core 数据库格式）。
- **余额来源**：业务系统标注余额为 `33.03755686 BTC`，该数值来自钱包文件本身（`balance` 字段），非链上实时查询。
- **录入与更新时间**：录入于 `2026-06-23 00:40:32`，最后更新于 `2026-08-06 10:11:31`，说明该钱包在系统中被持续跟踪。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何已确认的明文密码或助记词。
- **交易同步状态**：链上交易摘要显示“未发现已同步的交易记录”，意味着转入/转出历史**尚未拉取**，不能据此判断资金活跃度。
- **业务标注**：`余额很小(≤阈值)` 为 **否**，说明系统并不认为这是一笔“小额/低价值”钱包，值得继续投入分析。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，系统录入了一个名为 `wallet_33,03BTC` 的旧版 Bitcoin Core 钱包文件。文件大小约 233 KB，属于典型的 legacy BDB 结构。我们首先确认了它的主地址和余额字段，发现账面上有 33 个多 BTC，因此将其标记为“非小额”目标，进入重点观察列表。

随后我们尝试对钱包文件进行基础解析，确认其格式与版本无误。但在检查“是否已有已知密码”时，系统返回 **否**——这意味着我们手里并没有现成的口令，所有后续工作都建立在“未知密码”的前提下。

7 月至 8 月间，该钱包记录被多次更新（最后一次为 8 月 6 日），但更新内容主要是元数据刷新，并未带来密码或交易同步上的突破。目前最关键的缺口是：**链上交易从未同步**，所以我们既不知道这些 BTC 是什么时候进来的，也不知道是否曾经被转出过。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未同步，未知。没有 `direction=receive` 的统计字段，无法确认资金来源或入账时间。
- **转出记录**：未同步，未知。没有 `direction=send` 的统计字段，无法确认是否存在历史转出行为。
- **当前状态**：仅能确认钱包文件内记录的静态余额为 `33.03755686 BTC`，但该余额是否与链上实际 UTXO 一致，**尚未验证**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该钱包的 `余额很小(≤阈值)` 字段为 **否**，说明系统判定其价值**不低**，并非因“余额为 0”而放弃。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，即我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的完整 UTXO 与历史流水，确认账面余额是否真实可动。
2. **检查钱包文件完整性**：确认 `wallet_33,03.dat` 是否损坏或加密方式是否为标准 BDB 口令（非自定义 KDF）。
3. **查找同批次钱包关联**：该文件路径包含 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet`，建议调取同批次其他钱包的元数据，寻找共性线索（如统一口令策略）。
4. **调取录入时的来源日志**：查看 2026-06-23 00:40 前后系统日志，确认该文件是从哪个设备/渠道上传，可能附带备注信息。
5. **检查是否有历史密码提示**：在业务库中搜索该钱包 ID 或文件名，看是否有过备注、工单或聊天记录提及口令线索。
6. **验证地址所有权**：通过签名挑战（如让持有方对已知消息签名）确认该地址私钥是否仍被原持有者控制，避免误判为“丢失”。
7. **补充文件哈希与创建时间**：记录该 `.dat` 文件的 MD5/SHA256 及文件系统时间戳，便于后续与备份介质比对。
8. **评估链上活跃度**：若同步后显示多年无交易，可考虑是否为“沉睡钱包”，降低破解优先级；若近期有转出，则需紧急跟进。

### 7. 已尝试方向回顾（避免重复投入）

- **格式解析**：已确认是 `bitcoin_legacy_bdb`，无需再花时间判断文件类型。
- **密码存在性检查**：已确认系统内**没有**现成明文密码，不必再搜索“已知密码表”。
- **业务价值判断**：已标记为“非小额”，无需重新评估是否值得投入。
- **尚未尝试**：链上交易同步、同批次文件横向比对、来源日志追溯——这些是当前最值得补的空白，而非重复解析已有文件。