BTC 钱包风险检测与恢复评估 #1068

### 1. 一句话结论
这是一枚持有约 **129.66 BTC** 的 Legacy 格式比特币钱包（ID 1068），目前**尚未获得明文密码**，但链上数据显示其近期（2026-05-22）仍有转入活动，属于高价值且需继续跟进的取证对象。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC 地址 `1AamCcS7oXPZYvYw7dwcZxjxJkPSxZ94vm`，文件格式为 `bitcoin_legacy_bdb`，文件大小 180,224 字节，录入于 2026-06-23。
- **余额状态**：当前余额 **129.66230113 BTC**，业务标注为“余额很小”= **否**，即不适用小额豁免规则，需正常处理。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即**没有**强证据表明已拿到明文密码。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：**1 笔**，最后发生在 **2014-01-10**。
- 转入（receive）：**49 笔**，最后发生在 **2026-05-22**。
- 近 30 天转出/转入均为 **0 笔**。
- 交易时间跨度：**4519 天**（约 12.4 年）。
- **文件路径**：位于 `MEGA-BONUS_57 файлов BTC LTC DOGE` 数据集目录下，暗示该文件可能来自一个批量整理的“MEGA-BONUS”压缩包。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件。它来自一个名为“MEGA-BONUS”的批量数据集，文件格式是典型的 Bitcoin Core 旧版钱包（BDB 数据库）。我们首先核对了文件完整性和基础元数据，确认其大小与格式正常，并记录了主地址。

随后，我们同步了链上交易记录。数据显示这是一个“沉睡多年、近期苏醒”的地址：从 2014 年 1 月转出过 1 笔后，长期只有转入记录，直到 2026 年 5 月 22 日还有一笔转入。这提示我们，该地址可能仍被原主人或相关方控制，且近期有资金归集动作。

在密码验证环节，我们尝试了常规的合规流程（如检查是否有配套的密码提示文件、是否在数据集内存在同名文本说明等），但**均未发现有效线索**。目前状态停留在“有文件、有余额、无密码”的阶段，尚未进入任何破解成功阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 2014-01-10。此后 12 年多没有任何转出记录。
- **转入（receive）**：共 **49 笔**，最后一笔在 2026-05-22。说明该地址在 2026 年 5 月仍被使用（至少作为收款方）。
- **近 30 天活动**：转出 0 笔，转入 0 笔。即最近一个月内无任何链上动作。
- **结论**：该钱包呈现“历史支出极少、长期净流入、近期仍有入账”的特征。至于这些转入的具体来源地址、金额大小，当前数据未同步，**暂不可知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **129.66 BTC**，业务标注“余额很小”= **否**。因此**不适用**“余额为 0 或极小即放弃”的规则，必须继续投入资源。
- **明文密码状态**：字段明确显示 `cracked_password/actual_password` = **否**。即**尚未获得明文密码**，所有关于“已破解”的说法均不成立。当前仍处于“有密文、无明文”的取证阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **查找同目录配套文件**：检查 `MEGA-BONUS_57 файлов...` 文件夹内是否有同名 `.txt`、`.md`、`readme` 或密码表文件（常见于批量整理包）。
2. **分析 2026-05-22 最后一笔转入的对手方地址**：该地址可能关联到钱包持有者的其他身份信息。
3. **回溯 49 笔转入的时间分布与金额规律**：判断是“挖矿收益”“交易找零”还是“个人转账”，以推测密码设置习惯。
4. **检查钱包文件内的元数据**：如 `keypool`、`mkey` 加密头信息，确认是否使用默认加密参数（仅作状态判断，不涉及攻击）。
5. **搜索公开泄露库中该地址的关联记录**：如该地址曾在论坛、交易所注册或公开留言中出现。
6. **核对 2014-01-10 那笔转出的去向**：该地址可能是当时钱包主人的主力地址，转出对象或可提供身份线索。
7. **确认该钱包是否属于某个已知的“沉睡 BTC”名单**：部分公开榜单会列出长期未动的地址。
8. **补充链上完整交易明细（含金额、对手方、时间）**：当前仅有笔数与时间，缺少金额维度，需同步完整数据。

### 7. 已尝试方向回顾（避免重复投入）
- **常规密码提示文件排查**：已在数据集目录内寻找同名或相关文本说明，未果。
- **基础格式校验**：确认文件为有效的 Bitcoin Legacy BDB 格式，非损坏文件。
- **链上同步**：已拉取交易笔数与时间戳，但未深入分析对手方。
- **密码状态核实**：已确认无任何“已知密码”字段，未进入破解成功状态。

> 以上均基于现有字段的合规复盘，未涉及任何攻击性操作细节。下一步建议优先补充外部情报线索，而非重复基础校验。