BTC 钱包风险检测与恢复评估 #1208

### 1. 一句话结论
这是一枚持有 **36.09638097 BTC** 的 Legacy 格式比特币钱包（ID 1208），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此转入/转出活动暂时无法解读，下一步重点是先完成交易同步并补充密码线索材料。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1208，币种 BTC，主地址 `1PpK3mf7F7prfr4Ec2AXsPzQATwF2nMcnT`（Legacy P2PKH 格式）。
- **余额与标注**：链上余额 **36.09638097 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额**不属于**“低价值/可忽略”的范畴。
- **文件信息**：文件名 `wallet_36,09BTC_wallet_36,09.dat`，格式 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包），大小 110,592 字节，路径位于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_.../` 目录下，暗示可能来自批量钱包整理包。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即目前**没有**任何已确认的明文密码或助记词证据。
- **交易同步状态**：链上交易摘要显示“未发现已同步的交易记录”，说明当前数据库内**没有**可用的转入/转出历史。
- **时间线**：录入 2026-06-23 00:41，数据标注 2026-06-23 00:57，最后更新 2026-08-06 11:20（更新间隔约 44 天，期间无密码突破记录）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `wallet_36,09.dat` 的 Legacy 钱包文件入手。文件本身是 Bitcoin Core 旧版 BDB 格式，大小约 108 KB，属于典型的“单地址小钱包”体积。钱包名称里的“36,09BTC”与链上余额 36.09638097 BTC 高度吻合，说明该文件在归档时就被标注了预期余额。

在录入阶段（6月23日），系统完成了文件哈希登记与基础字段提取，并打上了“余额较小”的业务复核标记——但复核结论为“否”，即这笔 36 BTC 并不属于可忽略的小额资产，值得继续跟进。

随后我们检查了密码证据字段：目前没有任何“已知密码”或“已确认口令”的强证据。也就是说，截至 8 月 6 日最后一次更新，我们仍处于“持有文件、但未解锁”的状态。同时，链上交易记录尚未拉取同步，因此我们无法从公开账本确认这笔 BTC 的最后移动时间或来源去向。

整体推进节奏是：先确认文件有效性与余额标注，再评估密码状态，最后补交易同步。目前前两步已完成，第三步（交易同步）是明确的缺口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法判断（没有同步数据，不能推测“最后转出时间”）。
- **说明**：当前余额 36.09638097 BTC 是钱包文件内记录的数值，但该数值未经链上同步校验，存在与网络实际状态不一致的可能。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该钱包的标注为 **否**，即 36 BTC 不属于低价值忽略范围，业务上仍视为有效目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，不存在任何已确认的密码、助记词或私钥明文证据。所有关于“已破解”的说法均不成立。
- **当前阶段**：仍处于“持有加密钱包文件、未解锁”的取证阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该主地址的完整转入/转出历史，确认 36 BTC 是否仍在该地址，以及最后活动时间。
2. **补充密码线索材料**：查找该钱包来源目录（`MEGA-BONUS_BITCOIN CORE WALLETS - 250_...`）中是否附带说明文件、密码提示文本或配套的 `.txt` 备注。
3. **核查同批次钱包**：该路径包含“250_wallet”字样，建议检查同批其他钱包文件是否已有成功解锁案例，其密码策略可能复用。
4. **检查文件元数据**：提取 `wallet.dat` 的创建时间、修改时间等元数据，辅助判断生成工具与时间窗口。
5. **确认钱包版本兼容性**：验证该 BDB 文件是否可由当前 Bitcoin Core 版本直接读取，排除因版本不匹配导致的“假未解锁”。
6. **查找归档来源信息**：追溯该文件来自哪个业务活动（如活动名 `MEGA-BONUS`），可能关联公开的活动密码规则。
7. **核对余额真实性**：通过区块浏览器手动核对主地址余额，排除本地文件数据过期。
8. **登记线索来源**：记录上述所有补充材料的获取时间与提供方，便于后续审计。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已完成文件格式识别（Legacy BDB）、大小与路径登记，无需重复。
- **密码证据核查**：已确认当前无任何 `cracked_password/actual_password` 强证据，无需再次查询该字段。
- **业务价值标注**：已确认该钱包不属于“余额为0/小额忽略”类别，无需重新评估优先级。
- **未尝试方向**：链上交易同步尚未执行；同批次钱包横向比对尚未开展；文件元数据深度提取尚未进行。这些是下一步的新增投入点，而非重复劳动。