BTC 钱包风险检测与恢复评估 #1033

### 1. 一句话结论
这是一枚持有 **364.05747708 BTC** 的 Legacy 格式比特币钱包（ID 1033），目前**尚未获得明文密码**，链上活动集中在 2013 年 7 月初的 2 天内，此后长期沉寂，取证工作仍处于“材料梳理与线索补充”阶段。

---

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_364.dat`，大小 2,334,720 字节，格式为 `bitcoin_legacy_bdb`，路径指向 `MEGA-BONUS_8 BTC Wallets - All 300 +_Wallet 364 BTC` 数据集目录。
- **主地址**：`16ECRdDigsZCn8QDSRrimGJqyFrRyM3ueS`（来自 `address` 字段）。
- **余额**：364.05747708 BTC（业务标注“余额很小”为**否**，即不适用小额豁免规则）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即**没有**任何“已知密码存在”的强证据。
- **录入与更新**：录入于 2026-06-23 00:38:31，最近更新于 2026-08-06 08:24:59，数据标注日期为 2026-06-23 00:57:25。
- **链上交易摘要**：转出 1 笔、转入 1 笔；最后转出 2013-07-04 13:32:36，最后转入 2013-07-02 08:41:03；近 30 天转入/转出均为 0；交易时间跨度仅 2 天。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从数据集目录中定位到编号 1033 的钱包文件，确认其属于“MEGA-BONUS 8 BTC Wallets”批量样本中的第 364 号。文件格式为 Legacy BDB，说明这是早期 Bitcoin Core 客户端生成的钱包。

随后我们核对了链上记录：该地址在 2013 年 7 月 2 日收到一笔转入，7 月 4 日发生一笔转出，之后 13 年间再无任何链上动静。余额字段显示 364.05747708 BTC 仍留在地址中，说明那笔转出并未清空钱包。

在密码层面，我们检查了所有已知的“已破解密码”标记，结果均为否定——即目前没有任何证据表明我们已拿到明文密码或助记词。整个推进过程目前停留在“资产确认 + 交易时间线重建”阶段，尚未进入密码验证成功环节。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，发生在 **2013-07-02 08:41:03**。这是该地址唯一一次收入记录。
- **转出（send）**：共 1 笔，发生在 **2013-07-04 13:32:36**。这是该地址唯一一次支出记录。
- **近期活动**：近 30 天转入 0 笔、转出 0 笔，链上已长期静默。
- **未同步/未知**：除上述 2 笔外，暂无其他交易明细数据；转入转出后的地址余额变化细节未同步，暂无法判断转出金额与剩余余额的对应关系。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 364.05747708 BTC，业务标注“余额很小”为**否**——即该钱包**不适用**“余额极小可忽略”的豁免规则，属于需要继续跟进的资产。
- **明文密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得明文密码**，也没有任何“密码已知”的强证据。所有关于“已破解”的说法均不成立，当前仍处于未验证状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址在 2013-07-02 与 2013-07-04 两笔交易的完整输入/输出脚本，确认转出后剩余 BTC 是否仍归集到同一地址。
2. 查找数据集内同批次（MEGA-BONUS 300+）其他钱包文件，比对文件名规律与创建时间，判断是否存在批量生成特征。
3. 补充该钱包的 `mkey` 加密元数据（若存在），用于确认加密算法与迭代参数，但**不涉及明文还原**。
4. 收集 2013 年 6-7 月该地址关联的 IP 登录日志或客户端版本信息（如有节点日志）。
5. 检索公开渠道中是否有人提及“MEGA-BONUS 8 BTC”活动，确认该批钱包的来源背景。
6. 核对钱包文件内是否包含多个地址或地址池，避免只盯主地址而遗漏关联收款地址。
7. 确认该数据集是否附带任何说明文档或校验文件（如 readme、hash 清单），可能包含线索。
8. 检查同一数据集内其他钱包是否已有成功解锁案例，若有，可对比其文件结构与当前钱包的差异。

---

### 7. 已尝试方向回顾（避免重复投入）
- **密码已知性排查**：已核对 `cracked_password/actual_password` 字段，确认为否定，无需再次重复检查该标记。
- **链上活动梳理**：已完成转入/转出笔数与时间统计，确认仅 2 笔交易、跨度 2 天，无需重新扫描。
- **近期活跃度检查**：近 30 天转入/转出均为 0，已确认长期沉寂，不必再查短期动态。
- **余额豁免判断**：已确认该钱包不适用“余额很小”豁免，后续无需再走小额放弃流程。
- **文件基础信息**：格式、大小、路径均已记录在案，无需重复提取基础属性。