BTC 钱包风险检测与恢复评估 #1572

### 1. 一句话结论
这是一个持有约 **0.95 BTC** 的 Legacy 格式比特币钱包（ID 1572），当前**尚未获得明文密码**，但链上数据显示其存在长期、规律的资金流入历史，且最后一次转入发生在 2025 年，具备继续推进取证的价值。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC 网络，主地址 `19wCFh3wAqqWE9SNJu6QyBmCVX68zVGLH5`，钱包文件名为 `19wCFh3wAqqWE9SNJu6QyBmCVX68zVGLH5.dat`，格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 钱包）。
- **余额与标注**：当前余额 **0.95014152 BTC**，业务系统标注“余额很小”为 **否**（即不认为余额可忽略）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何已确认的明文密码或助记词。
- **文件信息**：文件大小 139,264 字节，录入时间 2026-06-23，最后更新 2026-08-06。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：**1 笔**，最后转出时间 **2013-06-24**。
- 转入（receive）：**25 笔**，最后转入时间 **2025-06-13**。
- 近 30 天转入/转出均为 **0**。
- 交易时间跨度 **4427 天**（约 12 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日进入我们审查视野的。当时系统记录下它的文件路径与格式，确认是一个典型的 Legacy 比特币钱包。我们首先核对了链上行为：发现它从 2013 年 6 月有过一次转出后，就再也没有动过“出账”的念头，反而在接下来的 12 年里陆续收到 **25 笔转入**，直到 2025 年 6 月还有一笔进账。

这种“只进不出”且跨度极长的模式，让我们判断它不像是一个被废弃的空壳，而更像是一个被长期保管或遗忘的存储地址。随后我们检查了密码状态字段，确认目前**没有**任何已破解的明文密码。也就是说，我们手里有一把锁，但还没有钥匙。

我们目前的工作停留在“证据梳理”阶段：确认了文件完整、余额真实、交易历史清晰，但尚未跨过“获取密码”这道门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2013-06-24**。此后 12 年再无转出记录。
- **转入（receive）**：共 **25 笔**，最后一笔发生在 **2025-06-13**。说明该地址在近期仍被使用（至少作为收款方）。
- **近 30 天活动**：转入与转出均为 **0**，即当前处于静默期。
- **未同步数据**：除上述统计外，没有更细粒度的单笔金额、对手地址或交易哈希明细，因此**无法判断**每笔转入的具体来源或意图。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为 **否**，即业务上**不认为** 0.95 BTC 是低价值或可放弃的资产。
- **密码状态**：强证据字段明确为 **否**，代表**尚未获得明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 25 笔转入的完整交易明细**（时间、金额、对手地址），用于判断资金来源是否单一或关联已知交易所。
2. **调取 2013 年那笔转出的目标地址**，看是否与某个已知钱包或服务商有关联。
3. **核对钱包文件创建时间**（若 BDB 内部元数据可读），确认钱包诞生时间是否早于 2013 年首笔转出。
4. **检查该地址是否出现在公开的“比特币富豪榜”或历史大额转账记录中**，以评估其社会工程学线索。
5. **寻找钱包文件名中“6я сотня 120”的业务含义**，可能是内部编号或批次标记，有助于定位来源渠道。
6. **确认 2025 年最后一笔转入的触发背景**（例如是否与某次空投、退款或旧债偿还相关）。
7. **尝试从备份介质或旧设备中寻找同名 .dat 文件的副本**，副本可能包含更早的密钥状态。
8. **若有权访问钱包宿主服务器日志**，可查该文件在 2026-06-23 之前是否被其他工具读取过，以排除重复劳动。

### 7. 已尝试方向回顾（避免重复投入）
- **密码破解尝试**：已确认当前没有可用密码，且未达到“已知密码存在”的强证据标准。**不建议**在无新线索（如密码字典、用户习惯提示）的情况下重复跑通用字典。
- **余额判定**：已确认余额不为零且业务上不视为小额，因此**无需**再走“余额过小放弃”的流程。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，**无需**再猜测是否为 SegWit 或 HD 钱包格式。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出梳理，**无需**重新统计链上数据，除非拿到更细粒度的交易哈希列表。

---

*以上内容仅基于提供的事实字段进行合规复盘，不包含任何攻击步骤或敏感信息还原。*