BTC 钱包风险检测与恢复评估 #1277

### 1. 一句话结论
这是一枚持有约 **35.48 BTC** 的 Legacy 格式比特币钱包（钱包ID 1277），链上活动显示其历史上曾频繁转入、少量转出，但近30天完全静默；目前**尚未获得明文密码**，破解工作仍处于“测试中”阶段，且该钱包**不属于“余额为0”的业务标注**，仍具备实际资产价值。

---

### 2. 我们掌握的事实（证据链）
- **资产现状**：BTC 余额 **35.47570717**（字段：balance），业务标注“余额很小”为 **否**，即该余额不可忽略。
- **钱包格式**：`bitcoin_legacy_bdb`，文件大小 **319,488 字节**，属于 Bitcoin Core 旧版 Berkeley DB 钱包（字段：wallet_version/format）。
- **命名线索**：钱包名称为 `wallet_34,77BTC`，路径中标注 `MEGA-BONUS_BITCOIN CORE WALLETS - 250`，暗示该文件可能来自一个包含 **250 个钱包**的批量备份包（字段：wallet_name / path）。
- **时间线**：录入时间 2026-06-23，最后链上转入发生在 **2025-01-31**，最后转出发生在 **2013-11-08**，跨度 **4955 天**（约 13.5 年）。
- **交易统计**：转入 **54 笔**，转出 **13 笔**；近30天转入/转出均为 **0**（字段：wallet_transactions.direction）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有强证据表明已获取明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入审查清单，当时系统根据文件路径判断它来自一个名为“MEGA-BONUS”的批量钱包数据集，且文件名直接标注了“34,77BTC”，这让我们初步判断它可能对应一笔较大额资产。

随后我们核对了链上数据：该地址最后转入发生在 2025 年初，而最后一笔转出停留在 2013 年，说明这枚钱包在 2013 年之后基本处于“只进不出”的状态，很可能是一枚被长期保管或遗忘的冷钱包。

在技术层面，我们确认了它的格式为 `bitcoin_legacy_bdb`，即 Bitcoin Core 0.4~0.8 时代常用的 Berkeley DB 存储结构。这类钱包的加密机制相对老旧，但并不意味着可以轻易打开——目前我们**没有拿到任何明文密码或助记词**，所有关于“破解成功”的说法均不属实。

当前进度停留在：**已确认资产价值、已确认格式、已确认链上行为模式**，但**密码验证环节尚未通过**。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **54 笔**，最后一笔发生在 **2025-01-31**。说明该地址在 2025 年初仍收到过资金，可能是历史挖矿收益、旧交易找零或他人转账。
- **转出（send）**：共 **13 笔**，最后一笔发生在 **2013-11-08**。说明该钱包在 2013 年后就再也没有主动支出过任何资金。
- **近期动态**：近30天转入与转出均为 **0**，链上完全静默。
- **未知项**：我们**没有**关于这些交易的具体对手方地址、金额明细或交易哈希的同步数据，因此无法判断资金流向的具体性质（如是否交易所提现、是否找零归集等）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **35.47570717 BTC**，业务标注“余额很小”为 **否**，即**不适用**“余额为0/忽略”的简化处理流程，必须继续跟进。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即**尚未获得明文密码**。所有关于“已解锁”或“已还原助记词”的结论均无事实依据。当前仍处于“密码测试中”阶段，且不排除密码复杂度较高或存在其他保护机制（如二次加密）的可能。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包文件的完整交易哈希列表**（含金额与对手地址），用于交叉验证余额是否与链上 UTXO 一致。
2. **查找同批次“MEGA-BONUS”其他钱包文件的命名规律**，确认 `34,77` 是否代表金额（34.77 BTC）或序号。
3. **补充钱包创建时间或首次交易时间**，辅助判断密码设置习惯（如是否与创建日期相关）。
4. **调取该地址在 2013 年之前的转出记录详情**，确认是否存在找零地址未归集的情况。
5. **检查文件路径中 `review` 目录的上下文**，确认该钱包是否来自某个历史案件或批量迁移任务。
6. **核对录入时间与数据标注时间（均为 2026-06-23）**，确认是否存在批量导入时的元数据缺失。
7. **尝试从钱包文件名中的 `250` 推断批次总量**，看是否还有其他高价值钱包未纳入审查。
8. **补充该地址在 2025 年转入时的链上备注或来源标签**（如交易所热钱包标签），以判断资金性质。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包（BIP32/39/44）的结构假设，无需再对助记词方向投入。
- **链上活跃度分析**：已确认近30天无交易，排除了“近期被主动使用”的可能，无需再监控实时交易。
- **批量命名推测**：已从文件名提取 `34,77BTC` 与 `250` 两个关键数字，但尚未验证其与密码或结构的关联，**不建议再次单纯从文件名做无依据猜测**。
- **密码状态核实**：已确认 `cracked_password` 为否，后续工作应聚焦于**补充线索**（如历史密码习惯、备份文件元数据），而非重复尝试通用字典或暴力枚举（且此类操作不符合安全规范）。