BTC 钱包风险检测与恢复评估 #1144

### 1. 一句话结论
这是一枚持有约 **4.022 BTC** 的比特币 Legacy 格式钱包（ID 1144），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此无法对资金流向做任何转入/转出判断。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1144，主地址 `13Wf7QCGz3xYmGhCZ3g16Ds9KVztUDRJvk`。
- **资产规模**：余额 `4.02219444 BTC`，业务标注为“余额很小”= **否**，即该余额未触发小额阈值，属于需要重点跟进的资产。
- **钱包格式**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件名为 `wallet_4,022.dat`，大小 `98304` 字节。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即目前**没有**任何已确认的明文密码或助记词。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即当前系统内没有该地址的转入/转出历史。
- **时间线**：录入 `2026-06-23 00:40:29`，数据标注 `2026-06-23 00:57:30`，最近更新 `2026-08-06 10:14:00`。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在 6 月 23 日凌晨被录入系统的，当时它随一批名为“MEGA-BONUS”的比特币核心钱包文件一起进入审查队列。我们首先确认了它的格式是 `bitcoin_legacy_bdb`，这是一种较早期的 Bitcoin Core 钱包存储结构，文件体积只有 98KB，属于典型的“轻量级”钱包文件。

随后我们核对了余额字段，显示为 `4.02219444 BTC`，且业务系统明确标注“余额很小”为否——这意味着它没有被系统自动降级为低优先级，仍然值得投入分析资源。

在尝试读取钱包内容的过程中，我们遇到了“密码保护”这一关。截至目前，系统内**没有**任何一条记录能证明我们已经拿到了密码或助记词，所有相关字段均为否定状态。与此同时，我们尝试拉取该主地址的链上交易记录，但页面显示“未同步”，也就是说我们目前连这 4 个 BTC 是什么时候、从哪笔交易进来的都看不到。

简单说：我们确认了“这是一枚有钱但上锁的钱包”，但“锁”还没打开，账本也还没翻开。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **结论**：当前无法判断该地址历史上是否有资金进出，也无法确认最后活跃时间。所有关于“转出到某处”或“收到某笔大额”的说法均属猜测，不予采信。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统认为 `4.022 BTC` 不属于小额，需要继续跟进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为否定，因此我们**尚未获得**任何可用的密码、助记词或私钥明文。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址完整的历史转入/转出记录，这是判断资金性质的基础。
2. **补充钱包来源背景**：提供该 `.dat` 文件来自哪台设备、哪个业务场景（如“MEGA-BONUS”活动），有助于缩小密码猜测范围。
3. **确认钱包创建时间**：若能读取 BDB 文件头部的创建时间戳，可辅助判断密码设置习惯。
4. **检查是否有同名/同批钱包**：同一批 250 个钱包中，是否有其他钱包已被成功打开？若有，可参考其密码规律（仅作规律参考，不涉及具体破解）。
5. **核对地址余额与链上 UTXO**：用公开区块链浏览器核对 `13Wf7QCGz3xYmGhCZ3g16Ds9KVztUDRJvk` 的 UTXO 数量与来源，验证本地余额是否准确。
6. **补充用户线索**：是否有原持有人留下的密码提示、邮箱、备注文件等元数据？
7. **检查文件完整性**：确认 `wallet_4,022.dat` 是否被截断或损坏，必要时做哈希校验。
8. **评估钱包版本兼容性**：确认该 BDB 文件是否由特定 Bitcoin Core 版本生成，避免因版本不匹配导致读取异常。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断文件类型。
- **余额核对**：已确认余额为 `4.02219444 BTC`，且业务标注“余额很小=否”，无需再重复评估资产规模。
- **密码状态确认**：已确认当前无任何明文密码记录，后续工作应聚焦于“如何合法获取密码线索”，而非重复检查已有字段。
- **链上同步尝试**：已尝试查看交易摘要，但结果为“未同步”，下一步应直接执行同步操作，而非反复刷新页面。