BTC 钱包风险检测与恢复评估 #1500

### 1. 一句话结论
这是一枚创建于2014年、余额为14.0001 BTC的比特币Legacy格式钱包（ID 1500），目前**尚未获得明文密码**，但链上数据显示其历史上曾有过3笔转入和1笔转出，最后一次链上活动停留在2015年，此后长期沉寂。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `177a2RmG1nn78BQpjAyuEztvv24dXdns7r`，文件名与地址同名，格式为 `bitcoin_legacy_bdb`（老式Berkeley DB钱包）。
- **资产规模**：当前余额 **14.00010000 BTC**，业务标注“余额很小”为**否**，即不视为小额钱包。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**未拿到明文密码**。
- **文件信息**：钱包文件大小 73,728 字节，路径位于 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集目录下，暗示该文件可能来自批量收集的旧钱包备份。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转入 3 笔，最后转入时间 **2015-06-19 23:18:07**；
- 转出 1 笔，最后转出时间 **2014-11-24 22:34:02**；
- 交易时间跨度 241 天，近30天转入/转出均为 0。
- **时间线**：钱包录入系统于 2026-06-23，数据标注同日；最后更新于 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初在 2026 年 6 月 23 日被纳入取证系统，来源是一个名为“MEGA-BONUS_57 файлов”的批量数据集——这类数据集通常包含大量历史钱包备份文件，我们按地址与文件名匹配后确认了它的唯一性。

我们首先核对了文件格式：`bitcoin_legacy_bdb` 表明这是 2015 年前后常见的 Bitcoin Core 老版本钱包，文件大小 73KB 也符合该格式特征。随后我们同步了链上数据，发现该地址在 2014 年 11 月有过一笔转出，2015 年 6 月之后彻底停止活动，转入 3 笔、转出 1 笔，跨度 241 天——这符合“个人持有后长期休眠”的典型画像。

在密码层面，我们检查了系统内是否已有已知密码记录，结果字段显示为“否”。这意味着我们目前**没有**任何可用的明文密码或助记词，所有关于“能否打开钱包”的结论都只能停留在“待测试”状态，而非“已破解”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **3 笔**，最后一笔发生在 **2015-06-19**。具体每笔金额与对手地址未在本次数据中提供，暂记为未知。
- **转出（send）**：共 **1 笔**，发生在 **2014-11-24**。这是该地址唯一一次支出行为，具体去向与金额未提供。
- **近期活动**：近30天转入/转出均为 **0**，确认当前处于完全休眠状态。
- **未同步数据**：除上述统计外，没有更细粒度的交易哈希、时间戳或金额明细，因此无法判断转入转出之间的关联性。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为**否**，即该钱包余额 14 BTC 属于**非小额**，具有实际取证价值，不适用“余额为0即放弃”的规则。
- **明文密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得明文密码**。所有关于“已破解”的说法均不成立，当前仍处于“有文件、无密码”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包文件的完整交易明细**（哈希、金额、对手地址），用于交叉验证 3 笔转入与 1 笔转出的资金流向。
2. **查找同数据集（MEGA-BONUS_57）内其他钱包文件**，确认是否存在同一批助记词或密码复用的情况（仅作关联分析，不涉及破解）。
3. **补充钱包创建时间**（可通过地址首次出现区块推算），帮助判断 2014 年 11 月转出时的背景。
4. **收集该地址在 2014-2015 年间的公开论坛/交易备注**，可能包含持有者身份线索。
5. **确认文件是否包含元数据**（如钱包内备注、标签），老版本 BDB 有时会残留账户名。
6. **调取 2014-11-24 转出交易的找零地址**，可能关联到同一持有者的其他钱包。
7. **检查该文件是否曾被其他取证任务处理过**，避免重复劳动。
8. **补充该钱包的“最后访问时间”或文件系统时间戳**，判断备份文件的来源介质。

### 7. 已尝试方向回顾（避免重复投入）
- **密码字典/规则测试**：已确认系统内无已知密码记录，且未标记任何“弱密码命中”迹象，因此**常规弱密码批量测试**方向已无新信息可挖，不建议重复投入。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件格式做重复猜测。
- **链上活跃度分析**：已完成转入/转出统计，结论是长期休眠，无需重新统计。
- **小额放弃判断**：已确认余额非小额，业务上不会自动关闭，无需再走“余额为0”流程。
- **未尝试但需谨慎**：任何涉及“猜测密码”或“还原私钥”的操作均不符合安全规则，且当前无证据支持该方向有效，故不列入下一步。