BTC 钱包风险检测与恢复评估 #1159

### 1. 一句话结论

该钱包（ID: 1159）是一枚持有 **1505.19 BTC** 的比特币 Legacy 格式钱包，链上活跃期集中在 2016 年，近期无交易；目前**尚未获得明文密码**，且业务标注显示其“余额很小”的结论**不成立**（余额远超阈值），需继续以高优先级推进。

---

### 2. 我们掌握的事实（证据链）

- **钱包本体**：`wallet_1500.dat`，比特币 Legacy 格式（`bitcoin_legacy_bdb`），文件大小约 1.26 MB，录入于 2026-06-23，最后更新于 2026-08-06。
- **主地址**：`1AP8SVoFdJJUBhr9yQWDUTUMxCowy9Nqx4`（BTC 网络）。
- **余额**：1505.19546445 BTC（数据标注日期 2026-06-23）。
- **业务标注**：`余额很小(≤阈值)=否`，即系统判定该钱包**不属于小额钱包**。
- **密码状态**：`已知密码存在(cracked_password/actual_password)=否`，即**没有强证据表明已拿到明文密码**。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转出（send）28 笔，最后转出时间 2016-04-07。
- 转入（receive）6 笔，最后转入时间 2025-01-28。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 3320 天（约 9 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个故事要从 2026 年 6 月 23 日说起。那天，我们在整理一批历史遗留的比特币钱包文件时，注意到了这个名为 `wallet_1500.dat` 的文件——它躺在一条很长的路径里，文件名直白地写着“1500BTC”，这立刻引起了我们的注意。

我们先把钱包完整地登记入库，记录了它的格式（Legacy BDB）、大小和主地址。接着，我们调取了链上交易记录，发现这个钱包在 2016 年 4 月之前非常活跃，有 28 笔转出记录，之后便沉寂了。直到 2025 年 1 月，才又出现了一笔转入。

当我们核对余额时，确认了链上确实持有 **1505.19 BTC**，这显然不是一个小数目。但与此同时，系统里也记录了一个关键字段：**我们尚未掌握这个钱包的明文密码**。也就是说，我们目前能“看到”这笔钱，但还无法“动用”它。

整个推进过程，就是围绕“确认资产真实存在”和“确认访问凭证缺失”这两件事展开的。我们并没有跳过任何一步去假设结果，而是严格依据钱包文件、链上数据和密码状态字段，一步步把事实钉在了证据链上。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 **28 笔**，最后一笔发生在 **2016-04-07**。这表明该钱包在 2016 年曾作为支出方被频繁使用，之后便不再向外转账。
- **转入（receive）**：共 **6 笔**，最后一笔发生在 **2025-01-28**。说明在长期沉寂后，2025 年初曾有一笔资金进入该地址。
- **近期动态**：近 30 天转入/转出均为 **0 笔**，当前处于静默状态。
- **未知项**：关于每笔转入/转出的具体金额、对手方地址，当前数据未同步，暂无法解读。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **关于“余额很小”标注**：业务字段明确显示 `余额很小(≤阈值)=否`，且链上余额为 **1505.19 BTC**。因此，该钱包**不属于**“余额为 0 或极小”的弃用钱包，不能按低优先级处理。
- **关于明文密码**：字段 `已知密码存在=否`，意味着**目前没有证据表明我们已经拿到或验证了该钱包的明文密码**。所有关于“已破解”的说法均不成立，当前状态仍为“持有资产但缺少访问凭证”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充 2025-01-28 那笔转入的完整交易详情**（金额、对手地址），确认资金来源，判断是否与钱包主人有关联。
2. **调取 2016 年 28 笔转出的对手地址**，分析资金去向，可能找到钱包主人的身份线索或常用服务商。
3. **核对钱包文件路径中的“MEGA-BONUS”与“250_wallet”字样**，确认该文件是否属于某个批量生成或活动赠送的钱包序列。
4. **检查同一目录下是否存在其他钱包文件**，可能共享相同的密码设置习惯。
5. **查找该主地址在公开区块链浏览器上的标签或备注**（如交易所充值地址、已知黑名单地址）。
6. **确认该钱包是否曾关联任何邮箱、用户名或社交媒体信息**（需通过合规渠道获取）。
7. **复核钱包文件完整性**，确认是否存在多个备份或旧版本文件，旧版本可能使用更弱的保护。
8. **评估该地址是否参与过 2016 年之前的知名事件**（如暗网市场、早期交易所），以缩小背景调查范围。

---

### 7. 已尝试方向回顾（避免重复投入）

- **基础信息核验**：已完成钱包格式识别、余额确认、交易笔数与时间跨度统计，确认资产真实存在且非小额。
- **密码状态确认**：已核实系统内无“已知密码”标记，排除了“已破解”的误判。
- **近期活动排查**：已确认近 30 天无交易，排除“正在被使用”的可能性。
- **未投入方向**：尚未对 2025 年转入资金来源、2016 年转出对手方进行链上关联分析；也未对同目录其他文件进行批量排查。这些是下一步的优先切入点。