BTC 钱包风险检测与恢复评估 #1179

### 1. 一句话结论
这是一个2012年创建的比特币老钱包（Legacy/BDB格式），目前链上余额约1.839 BTC，但**尚未获得明文密码**，且业务层面**未标记为“小额/低价值”**，因此仍属于需要继续跟进的资产。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1179，主地址 `18jXjhpdiwF6R5YkPyUZMNSkxHRXEajYEq`，文件名为 `..._btc_18jXjhpdiwF6R5YkPyUZMNSkxHRXEajYEq.dat`。
- **格式与版本**：`bitcoin_legacy_bdb`，文件大小 90,112 字节，属于早期Bitcoin Core钱包格式。
- **余额与标注**：链上余额 1.83949995 BTC；业务标注“余额很小(≤阈值)”为**否**，即不因金额小而放弃。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **交易统计（来自 wallet_transactions.direction）**：
- 转出（send）：1 笔，最后发生在 2012-10-20。
- 转入（receive）：2 笔，最后发生在 2012-10-24。
- 近30天转入/转出均为 0，交易时间跨度 77 天。
- **录入与更新**：数据录入于 2026-06-23，最近一次更新于 2026-08-08。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是我们在2026年6月23日纳入台账的。当时录入的信息显示它来自一个名为“MEGA-BONUS_57 файлов BTC LTC DOGE”的批量数据集，路径里带有 `unknown` 标记，说明来源渠道并非官方备份，而是第三方收集的散落文件。

我们首先确认了文件格式是 `bitcoin_legacy_bdb`，这是2012年前后Bitcoin Core常用的钱包数据库结构。文件大小约90KB，符合一个包含少量地址和交易记录的早期钱包特征。

接着我们核对了链上数据：这个地址在2012年10月有过两笔转入和一笔转出，之后13年多再没有动静。余额停留在1.839 BTC，没有被转走，说明要么是原主人遗忘了，要么是密钥材料不完整导致无法动用。

在尝试恢复访问的过程中，我们重点检查了是否存在“已知密码”的强证据。结论是**否**——也就是说，我们目前并没有拿到可用的明文密码或助记词。所有关于“能否打开钱包”的判断，都停留在“尚未成功”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后一笔发生在 2012-10-24 22:33:01。说明该地址在2012年10月曾接收过资金。
- **转出（send）**：共 1 笔，最后一笔发生在 2012-10-20 00:38:22。说明该地址在2012年10月曾支出过一笔资金。
- **近期活动**：近30天转入、转出均为 0，属于长期休眠地址。
- **交易时间跨度**：77 天（约2012年8月至10月之间）。
- **未同步数据**：除上述统计字段外，没有更细粒度的交易哈希、金额明细或对手地址数据，因此无法判断具体转给了谁、转入了多少。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 1.83949995 BTC，业务标注“余额很小(≤阈值)”为**否**。也就是说，**不是因为余额太小而放弃**，而是因为金额可观，值得继续投入。
- **密码状态**：`cracked_password/actual_password` 为**否**。这意味着**尚未获得明文密码**，也没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法都是不成立的。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该 `.dat` 文件的完整来源信息**：包括原始压缩包名称、下载链接、打包时间，判断是否来自某个已知的泄露数据集。
2. **补充链上交易明细**：拉取该地址的完整交易哈希、金额、对手地址，确认转出笔的具体去向，可能关联到其他已知钱包。
3. **检查同批次数据集内其他钱包**：路径中出现了“MEGA-BONUS_57 файлов BTC LTC DOGE”，说明同一批可能有57个文件，优先排查同批次的BTC钱包是否已有成功案例。
4. **核对钱包内地址数量与索引**：通过BDB文件结构分析，确认该钱包是否只包含这一个主地址，还是存在多个派生地址。
5. **寻找2012年10月前后的历史备份习惯**：该钱包最后活动在2012年，若能找到当时常见的备份命名规则或密码习惯，有助于缩小范围。
6. **检查是否有配套的 `.key`、`.txt`、`.csv` 等旁车文件**：很多第三方数据集会附带密码提示或明文密钥片段。
7. **比对已知泄露密码库的时间窗口**：仅做存在性比对，不做暴力破解，确认该钱包是否曾出现在任何已知泄露事件中。
8. **确认该地址在2012年10月转出后是否还有未花费输出（UTXO）**：这决定了1.839 BTC是否仍然可动。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了其他钱包格式的可能性。
- **密码强证据检查**：已核对 `cracked_password/actual_password` 字段，结论为否，说明没有现成密码可用。
- **链上活动梳理**：已确认转入2笔、转出1笔，时间跨度77天，近期无活动。
- **业务价值判断**：已确认余额不小，不属于“低价值放弃”范畴。
- **未尝试方向**：尚未进行同批次文件横向比对，也未补充链上交易明细；这些是下一步的重点，而不是重复做格式分析或余额核对。