BTC 钱包风险检测与恢复评估 #1168

### 1. 一句话结论
钱包 `wallet_10,21.dat`（BTC，主地址 `18YRj1RvMK94Nw26TxjNmkSMSP5HXJRPTp`）当前链上余额为 **10.21002231 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**，因此无法确认该余额的转入/转出历史。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID `1168`，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式）。
- **文件信息**：文件名为 `wallet_10,21.dat`，大小 `57344` 字节，存放于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_10,21BTC_...` 路径下。
- **余额数据**：当前显示余额 `10.21002231 BTC`，且业务标注为“余额很小=否”（即不满足小额阈值豁免条件）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，意味着转入/转出时间线目前为空。
- **时间戳**：录入时间 `2026-06-23 00:40:45`，数据标注日期 `2026-06-23 00:57:31`，最近更新时间 `2026-08-06 10:34:29`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，我们接手了这个名为 `wallet_10,21.dat` 的 BTC 钱包文件。从文件名和路径看，它属于一批标注为“MEGA-BONUS”的 250 个钱包之一，文件格式是 Bitcoin Core 旧版（BDB），这决定了后续所有取证工具的选择范围。

我们首先对文件做了静态检查：确认大小、格式、主地址，并读取到余额 `10.21002231 BTC`。这个数字不小，且业务上未标记为“小额”，因此值得继续投入。

随后我们尝试同步链上交易，但页面显示“未发现已同步的交易记录”。这意味着我们目前只能看到钱包文件里的静态余额，无法判断这笔 BTC 是什么时候、从哪个地址进来的，也无法判断是否曾转出过。

在密码方面，我们进行了常规的候选测试（基于常见弱口令、文件名相关词等），但截至目前，**没有一条候选被验证为正确**。字段 `cracked_password` 仍为“否”，说明我们尚未跨过“拿到明文密码”这道门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：**未知**。链上交易未同步，无法确认任何一笔 `direction=receive` 的转入。
- **转出记录**：**未知**。同样因未同步，无法确认任何一笔 `direction=send` 的转出。
- **当前余额**：`10.21002231 BTC` 是钱包文件内记录的静态数值，但**不能据此推断**它来自哪笔交易或何时到账。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：不适用。当前余额为 `10.21002231 BTC`，业务标注“余额很小=否”，即**不满足**“余额为 0 或极小则放弃”的规则。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，表示**尚未验证成功**，也没有任何强证据指向已知密码。我们仍在测试阶段，未进入“已解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，拿到该地址的完整转入/转出历史，这是判断资金来源和最后活动时间的最关键一步。
2. **补充钱包来源背景**：提供该钱包所属批次（MEGA-BONUS 250 个钱包）的说明文档、生成脚本或历史备注，可能包含密码生成规则线索。
3. **查找同批次其他钱包**：若同批其他钱包已成功解锁，可对比其密码结构（仅对比结构，不涉及明文），缩小候选范围。
4. **检查文件元数据**：确认 `.dat` 文件是否包含创建时间、修改时间等元数据，辅助判断钱包生成时间点。
5. **提供钱包使用场景线索**：如该钱包曾用于收款、打赏、空投等，可推测密码设置习惯（如日期、项目名）。
6. **检查是否有备份或旧版本文件**：同一路径下是否有 `wallet_10,21.dat.bak` 或类似备份，可能包含不同状态的密码信息。
7. **确认“余额很小”阈值的具体数值**：明确业务侧“≤阈值”的定义，以判断当前余额是否接近该边界，影响后续投入优先级。
8. **补充链上地址标签**：若主地址 `18YRj1RvMK94Nw26TxjNmkSMSP5HXJRPTp` 在公开标签库（如钱包标记、交易所充值地址）中有记录，可辅助判断资金来源。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已完成格式识别（BDB）、大小确认、主地址提取、余额读取。
- **基础密码候选测试**：已基于文件名、路径关键词、常见弱口令等做过一轮候选测试，**未命中**，无需重复相同候选集。
- **链上同步尝试**：已尝试同步交易，但返回“无记录”，需检查同步接口或网络状态后再试，而非重复点击。
- **业务标注核对**：已确认“余额很小=否”，该钱包不在自动放弃名单内，无需再次核对此条件。