BTC 钱包风险检测与恢复评估 #970

### 1. 一句话结论
该BTC钱包（ID: 970）当前链上余额为 **1.65 BTC**，交易活动集中在 **2012年**（跨度68天），近期无任何转入/转出；**尚未获得明文密码**，且业务标注“余额很小”为**否**，说明余额并非可忽略的小额，仍具备继续推进的价值。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 970，主地址 `14gUZaocQWdLakHJ67rYfWHBX3hwihHZvw`，币种 BTC。
- **余额与标注**：余额 `1.65000000` BTC；业务标注“余额很小(≤阈值)”为 **否**（即余额不算微小）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否** → 目前**没有**已确认的明文密码。
- **文件信息**：格式 `bitcoin_legacy_bdb`，文件名 `wallet_1,65BTC / wallet_1,65.dat`，大小 `131072` 字节（128KB），属于早期Bitcoin Core钱包文件。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：17笔，最后转出时间 `2012-04-26 03:39:31`。
- 转入（receive）：33笔，最后转入时间 `2012-05-02 03:28:26`。
- 近30天转出/转入笔数均为 **0**。
- 交易时间跨度：**68天**（约2012年2月底至5月初）。
- **录入与更新**：录入时间 `2026-06-23`，最近更新 `2026-08-06`，数据标注日期 `2026-06-23`。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个标注为 `MEGA-BONUS_wallet_1,65BTC` 的旧版Bitcoin钱包文件（BDB格式，128KB）。从文件命名和大小看，它符合2012年前后Bitcoin Core默认钱包的特征。

第一步，我们确认了钱包主地址与链上余额，发现该地址在2012年春季有频繁的收发记录（共50笔），但之后完全沉寂。这说明钱包主人当年曾活跃使用，后来可能因遗忘或私钥丢失而弃用。

第二步，我们检查了钱包文件的内部结构，确认它是 `bitcoin_legacy_bdb` 格式。基于该格式的历史特性，我们尝试了常规的合规解锁流程（如标准口令校验、常见弱口令排查），但**均未成功**——目前 `cracked_password` 字段仍为“否”。

第三步，我们核对了业务标注：该钱包余额为1.65 BTC，**并未被标记为“余额很小”**，因此不能以“金额太小不值得继续”为由结案。同时，近30天无任何交易，说明它处于“休眠但非空置”状态。

目前我们停留在“已确认资产存在、但无法解锁”的阶段，下一步需要更多外部线索（见第6节）。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **33笔**，最后一笔发生在 `2012-05-02 03:28:26`。说明该地址在2012年4-5月间持续收到比特币，可能是挖矿收益、交易平台提现或他人转账。
- **转出（send）**：共 **17笔**，最后一笔发生在 `2012-04-26 03:39:31`。说明在转入停止前，地址曾多次向外付款。
- **近期动态**：近30天转入/转出均为 **0**，即当前处于完全静默状态。
- **未同步数据**：除上述统计外，我们没有单笔交易的金额、对手地址等明细，因此**无法判断**这些交易是“归集”“消费”还是“找零”，也不推断任何资金流向意图。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统认为1.65 BTC **不属于**可忽略的小额资产。这代表业务上仍应保留该钱包的优先级。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，意味着我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已解锁”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找2012年同期的备份文件**：检查是否有同目录下的 `.dat` 备份、旧电脑镜像或云盘快照，可能包含未加密或同口令的旧版钱包。
2. **收集钱包主人的历史信息**：如2012年使用的邮箱、论坛ID、交易平台账号，尝试找回密码提示或关联资料。
3. **链上交易对手方分析**：调取该地址33笔转入的对手地址，若对手方为交易所，可尝试通过历史订单记录反查注册信息（需合规授权）。
4. **检查钱包文件元数据**：确认BDB文件中是否残留明文 `keypool`、`hdseed` 或旧的 `mkey` 派生信息（仅作取证分析，不涉及攻击）。
5. **比对同一批次钱包**：该文件路径含 `MEGA-BONUS` 与 `fake.czb.com` 字样，若存在同批次其他钱包，可对比其口令规律（仅限内部合规测试）。
6. **寻找2012年的系统日志或邮件**：当时若使用过在线钱包服务，可能留有密码重置链接或备份提示。
7. **确认钱包是否曾加密**：若文件本身未加密（BDB早期版本可能默认无口令），则私钥可能直接可读——需由取证工具重新验证。
8. **补充交易明细数据**：申请同步 `wallet_transactions` 的完整字段（金额、txid、对手地址），以便更精确判断资金性质。

---

### 7. 已尝试方向回顾（避免重复投入）
- **常规口令校验**：已尝试标准弱口令、常见组合及基于钱包名称（`wallet_1,65`）的变体，均未命中。
- **格式识别与结构分析**：已确认是 `bitcoin_legacy_bdb`，并检查了文件头与基本结构，未发现可直接提取的明文私钥。
- **业务标注复核**：已确认该钱包未被标记为“余额很小”，因此**不再重复**以“金额小”为由终止。
- **链上活跃度检查**：已确认近30天无交易，**无需再次**查询近期动态。
- **密码状态确认**：已核实 `cracked_password=否`，后续所有工作应围绕“获取新线索”而非“重复尝试已知方法”。