BTC 钱包风险检测与恢复评估 #1184

### 1. 一句话结论
这是一枚**BTC 主网 Legacy 格式钱包**（钱包ID 1184），当前链上余额为 **20.11008541 BTC**，但**尚未获得明文密码**，且**链上交易记录尚未同步**，因此转入/转出活动暂时无法解读。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1184，币种 BTC，主地址 `15VAEQ8SPYTtnBY8hZ7b3Khm7pGRbSKuoJ`。
- **余额**：当前余额 **20.11008541 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即该余额**不视为小额**。
- **文件信息**：钱包文件名为 `wallet_20,11.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 **131072 字节**（128 KB），属于早期 Bitcoin Core 钱包格式。
- **时间线**：录入时间 2026-06-23 00:40:56，数据标注日期 2026-06-23 00:57:31，最近更新时间 2026-08-06 11:00:31。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**不存在已知明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，说明当前数据集中**没有可用的转入/转出统计字段**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在 2026 年 6 月 23 日凌晨被录入系统的。当时我们拿到的是一个 128 KB 的 `.dat` 文件，从文件头格式判断，它属于 Bitcoin Core 的 Legacy BDB 钱包——这是 2010 年代早期客户端常用的存储结构，通常意味着钱包创建时间较早，且地址类型为传统 P2PKH（以 `1` 开头）。

录入当天，系统自动抓取了链上余额，显示为 20.11008541 BTC。这个数字不小，因此业务上明确标注“余额很小（≤阈值）= 否”，意味着它值得继续投入分析资源。

随后我们尝试对钱包文件进行基础解析，确认主地址和文件路径无误。但在“密码”这一环，系统记录显示**没有任何已知密码或助记词**——也就是说，我们手里只有这个加密的 `.dat` 文件，没有配套的解锁材料。

到了 8 月 6 日，我们再次更新了钱包状态，但**链上交易记录依然没有同步**。这意味着我们目前只能看到“余额”这一个静态数字，而无法判断这些 BTC 是何时、从哪个地址、以什么方式进来的，也无法判断是否有过转出。

简单说：**我们确认了“这是一枚有钱的旧钱包”，但既没有钥匙，也还没看清它的流水账。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。当前数据集中未同步任何交易记录，无法确认该地址是否收到过转入，也无法确认转入笔数与时间。
- **转出记录**：**未知**。同样因未同步交易，无法确认是否存在转出行为，更无法给出“最后转出时间”。
- **说明**：当前仅有的“余额 20.11008541 BTC”是链上快照值，不等同于已核对的交易流水。如需精确解读，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统**不认为**这是小额钱包，余额 20.11 BTC 属于高价值目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，表示**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。
- **当前状态**：钱包文件已锁定，处于“有币但无钥匙”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易记录**：在页面点击“同步交易”，获取该地址完整转入/转出流水，这是判断资金性质的第一步。
2. **补充钱包来源背景**：提供该 `.dat` 文件的获取来源（如旧硬盘、备份归档、涉案扣押等），有助于判断密码设置习惯。
3. **查找同批次钱包文件**：路径中提及“250_wallet_20,11BTC”，建议检索同目录下其他 249 个钱包，可能存在共用密码或相同创建工具。
4. **核对钱包创建时间**：通过 BDB 文件内部时间戳或首个区块高度，推断创建年份，缩小密码年代范围。
5. **收集与钱包关联的邮箱/用户名**：若该钱包曾用于交易平台或论坛，相关账号信息可能包含密码提示线索。
6. **检查是否有旧版备份或明文导出**：确认是否存在早期未加密的 `wallet.dat` 备份或纸钱包记录。
7. **调取该地址的链上行为画像**：即使不同步交易，也可通过区块浏览器查看该地址的历史交互对手方，辅助判断资金属性。
8. **确认业务诉求**：明确本次分析是为了“找回资产”还是“司法取证”，不同目的对应不同的合规流程与资源投入。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件解析**：已确认钱包格式为 `bitcoin_legacy_bdb`，文件大小正常，主地址提取成功——此路已通，无需重复。
- **密码已知性检查**：已核实不存在任何已知明文密码或助记词，后续无需再在“已有密码”假设上浪费时间。
- **链上交易同步**：尚未执行，属于**未完成项**，而非“已尝试失败项”，应优先补做。
- **未尝试方向**：未进行任何涉及密码猜测或字典攻击的操作（且此类操作需严格合规审批），也未对同批次其他钱包做关联分析——这些是下一步可探索的新空间。