BTC 钱包风险检测与恢复评估 #1638

### 1. 一句话结论
这是一枚持有约 **4.825 BTC** 的 Legacy 格式比特币钱包（主地址 `1Hrbgj...irLK`），历史交易集中在 2013-2014 年，目前**尚未获得明文密码**，但钱包文件完整、链上数据清晰，具备继续推进取证的条件。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件大小 81,920 字节，格式为 `bitcoin_legacy_bdb`，属于早期 Bitcoin Core 钱包（BDB 数据库）。
- **资产现状**：链上余额 **4.82537589 BTC**，业务标注“余额很小”为 **否**，即该余额不属于小额/忽略阈值。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前**没有**任何明文密码或助记词被验证通过。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）**1 笔**，最后转出时间 **2013-12-24 21:39:25**；
- 转入（receive）**16 笔**，最后转入时间 **2014-04-04 21:33:01**；
- 交易时间跨度 **105 天**，近 30 天转入/转出均为 **0**。
- **录入与更新**：钱包于 2026-06-23 录入，最近一次数据更新为 2026-08-06，说明该钱包仍在持续跟踪中。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个名为 `8 сотня 100 / 1Hrbgj...irLK.dat` 的旧版钱包文件，路径显示它来自一批名为 `MEGA-BONUS_!!таблица` 的批量数据集。第一步是确认文件完整性——大小 81,920 字节，符合 Legacy BDB 钱包的典型尺寸，说明文件没有明显截断。

随后我们同步了链上数据，发现这个地址在 2013 年底到 2014 年初有 17 笔交易（16 进 1 出），转入明显多于转出，且最后活动停留在 2014 年 4 月。这种“早期活跃、长期沉睡”的形态，符合个人囤币或历史交易找零的钱包特征。

在密码层面，我们检查了所有已知的密码/助记词线索，结论是**没有任何一条被验证为正确**。也就是说，目前钱包仍处于“锁定”状态，我们只能基于文件结构和链上行为做外围分析，尚未进入资产可动用阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **16 笔**，最后一笔发生在 **2014-04-04 21:33:01**。这 16 笔构成了当前余额的主要来源。
- **转出（send）**：共 **1 笔**，发生在 **2013-12-24 21:39:25**，早于最后一笔转入约 3 个月。说明该地址在早期有过一次支出行为，之后只进不出。
- **近期动态**：近 30 天转入、转出均为 **0**，即该地址自 2014 年以来没有新的链上活动。
- **未同步/未知**：我们**没有**每笔交易的金额、对手地址、找零归属等明细数据，因此无法判断那 1 笔转出是全额转出还是部分支付，也无法确认 16 笔转入是否包含找零回笼。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统判定 4.825 BTC 不属于“小额忽略”范畴，值得继续投入资源。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 明确为“否”，意味着我们**尚未获得**任何可用的密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 17 笔交易的完整明细**（金额、对手地址、时间戳），用于判断转出与转入之间的资金流向关系。
2. **查找钱包文件名中 `8 сотня 100` 的上下文**——该命名可能对应某批历史数据集或某次活动的编号，有助于缩小密码线索范围。
3. **核对钱包创建时间与首笔交易时间**，确认钱包生成时使用的客户端版本（Legacy BDB 对应 0.4~0.8 版）。
4. **检查同一批 `MEGA-BONUS_!!таблица` 数据集中其他钱包**，看是否存在共用密码或助记词规律（仅作关联分析，不涉及攻击）。
5. **寻找 2013-2014 年与该地址有过互动的对手地址**，通过链上关联反查是否有公开备注或交易备注。
6. **确认该地址是否出现在任何公开的比特币论坛、水龙头、交易所提现记录中**（仅做公开信息检索）。
7. **补充钱包文件的元数据**（如 BDB 内部时间戳、是否包含密钥池扩展标记），用于判断钱包是否曾被多次打开或修改。
8. **获取该钱包的“已知密码尝试历史”**（即之前测试过哪些类别），避免重复劳动。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已对现有候选密码/助记词进行过验证，结果均为失败，**无需重复测试同一批候选**。
- **文件完整性检查**：已确认文件大小与格式正常，**无需重新下载或修复文件**。
- **链上余额核对**：已确认链上余额与本地记录一致，**无需重复同步**。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出分类，**无需重新统计**。
- **未尝试方向**：尚未进行交易明细级分析、关联地址挖掘、以及钱包命名规律研究，这些是下一步的重点。