BTC 钱包风险检测与恢复评估 #1296

### 1. 一句话结论
这是一枚**2015年活跃、此后长期沉寂的比特币 Legacy 钱包**，当前链上余额约 **2.5379 BTC**；**尚未获得明文密码**，且业务标注“余额很小”为**否**，说明该钱包仍具备较高处置价值，但取证工作仍卡在“未拿到密码”这一环。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1296，币种 BTC，主地址 `16ySdKvgp9bHPgjnfxUawPrmRyQBvfbuWr`，格式为 `bitcoin_legacy_bdb`（老版 Bitcoin Core 数据库格式）。
- **文件信息**：钱包文件名为 `..._btc_16ySdKvgp9bHPgjnfxUawPrmRyQBvfbuWr.dat`，大小 **581,632 字节**，路径位于 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集目录下。
- **余额状态**：当前余额 **2.53794900 BTC**；业务标注“余额很小(≤阈值)”为**否**，即不适用小额放弃策略。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即**没有已确认的明文密码**。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转入（receive）**50 笔**，最后转入时间 **2015-05-27 12:03:35**；
- 转出（send）**0 笔**；
- 近30天转入/转出均为 **0**；
- 交易时间跨度 **263 天**。
- **时间线**：录入系统 2026-06-23，数据标注同日；最后更新 2026-08-17。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证数据集。当时我们拿到的是一个来自名为“MEGA-BONUS_57 файлов BTC LTC DOGE”的批量文件包，里面混有多种币种的钱包文件，本钱包是其中 BTC 部分的一个 Legacy 格式 `.dat` 文件。

第一步，我们先做了**文件体检**：确认文件大小正常（约 568 KB），不是空壳或截断文件；格式识别为 `bitcoin_legacy_bdb`，说明它来自老版本 Bitcoin Core，密钥结构是传统的 BDB 数据库。

第二步，我们**同步了链上交易**。链上数据显示这个地址在 2015 年有过 50 笔转入、0 笔转出，最后动账停在 2015 年 5 月 27 日。也就是说，从链上看这是一枚“只进不出”的地址，且已沉睡超过 10 年。

第三步，我们尝试对钱包文件本身做**密码验证**。但截至目前，所有测试均未命中，强证据字段仍为“否”。需要说明的是：**我们从未拿到过任何明文密码、助记词或私钥**，所有涉及密钥材料的输入均已按规则脱敏处理。

目前的状态是：**钱包文件完好、链上资产清晰，但密码验证未通过**，因此无法导出私钥，也无法移动资产。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **50 笔**，最后一笔发生在 **2015-05-27 12:03:35**。说明该地址在 2015 年曾有一段集中的收款期，时间跨度约 263 天。
- **转出（send）**：**0 笔**。链上没有任何支出记录，地址从未向外转账。
- **近期动态**：近 30 天转入 0 笔、转出 0 笔，完全沉寂。
- **最后转出时间**：**未知**（因转出笔数为 0，不存在该时间点）。
- **解读**：这是一个典型的“囤币型”地址——只收不付，且 2015 年后彻底停止活动。当前 2.5379 BTC 的余额与“0 转出”的记录完全吻合，不存在链上资产被转移的迹象。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即系统判定 2.5379 BTC **不属于**“小额可放弃”范畴。这意味着业务上仍要求继续推进，不能因金额小而结案。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 明确为“否”，表示**尚未获得任何可用的明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。
- **结论**：当前卡点在于“密码未知”，而非“金额不值得处理”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回原始数据集来源**：追溯 `MEGA-BONUS_57 файлов BTC LTC DOGE` 这批文件的出处（如旧硬盘镜像、论坛打包、历史备份），往往能顺藤摸瓜找到配套的密码提示文本或说明文档。
2. **检查同批次其他钱包文件**：该数据集包含 57 个文件，若同批其他钱包（LTC/DOGE/BTC）已被成功解锁，其密码规律或复用习惯可作为重要参考（仅作线索，不作臆断）。
3. **搜索文件名中的附加信息**：文件路径中 `..._57 файлов BTC LTC DOGE_btc_...` 的命名方式可能对应某个历史活动或项目名称，可尝试在公开存档中检索该名称。
4. **核查 2015 年收款来源**：通过链上分析，确认 50 笔转入的交易对手方（交易所、矿池、个人地址），有时能反推出钱包主人的身份线索或常用密码习惯。
5. **寻找钱包创建时间附近的元数据**：BDB 文件内部可能残留创建时间、上次访问时间等元数据，可辅助判断使用环境（如操作系统语言、客户端版本）。
6. **补充“密码提示”类材料**：若原始数据包中附带任何 `readme`、`password.txt`、`note` 文件，请优先提供——这是最直接的突破口。
7. **确认该地址是否在其他数据库中出现过**：在公开的泄露密码库或历史交易备注中检索该地址，看是否有主人主动留下的联系方式或备注。
8. **调取钱包文件的历史版本**：若存在该 `.dat` 文件的早期备份（如更小体积的版本），可能包含未加密或弱加密的密钥结构，有助于对比分析。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码字典验证**：已对钱包文件执行过标准密码测试流程，未命中，且未获得任何明文密码。**不建议**在无新线索的情况下重复跑相同字典。
- **格式识别与文件完整性检查**：已完成，确认为 `bitcoin_legacy_bdb`，文件无损坏。此方向已闭环，无需重做。
- **链上交易梳理**：已完成，转入 50 笔、转出 0 笔，时间跨度 263 天。交易结构清晰，无需重新统计。
- **业务价值评估**：已确认余额 2.5379 BTC 不属于“小额放弃”范畴，业务上继续跟进。此判断已定，无需复议。
- **尚未尝试但需谨慎的方向**：任何涉及暴力枚举、规则推导的尝试，均需在获得**新的外部线索**（如密码片段、用户习惯、同批样本）后再启动，避免无意义消耗计算资源。