BTC 钱包风险检测与恢复评估 #1444

### 1. 一句话结论
这是一个持有 **2 BTC** 的 Legacy 格式比特币钱包（ID 1444），最近一次链上活动停留在 **2014 年**，目前**尚未获得明文密码**，且**余额不为 0**，属于“有钱但暂时打不开”的典型休眠资产状态。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_2.dat`，大小 57,344 字节，格式为 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包），录入于 2026-06-23。
- **余额状态**：当前余额 **2.00000000 BTC**，业务标注“余额很小”为 **否**，即余额明确不为 0。
- **密码状态**：强证据字段（`cracked_password/actual_password`）为 **否**，即目前没有已确认的明文密码。
- **主地址**：`1BKcYzmyAMYXrZe38xzTxjFGXcCoftKtLr`（Legacy 地址，以 `1` 开头）。
- **链上活动**（依据 `wallet_transactions.direction`）：
- 转入 2 笔，最后一笔发生在 **2011-03-30**。
- 转出 1 笔，最后一笔发生在 **2014-01-15**。
- 交易时间跨度 1,023 天，近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_wallet_2BTC` 的备份目录中定位到了 `wallet_2.dat`。文件头信息显示它属于比特币早期的 `bitcoin_legacy_bdb` 格式，这类钱包在 2010–2014 年间非常常见。

通过解析钱包文件，我们确认了主地址与余额（2 BTC）。随后我们调取了该地址的链上交易记录，发现它的活跃期集中在 2011 年到 2014 年之间：先有 2 笔转入，后有 1 笔转出，之后便再无动静。这与“钱包被创建、使用过一段时间后被遗忘”的典型休眠特征吻合。

在尝试访问钱包内容时，我们遇到了口令保护。目前所有验证尝试均未得到“已知密码存在”的确认，因此我们只能判定为“密码未知”，而非“密码错误”或“钱包损坏”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2011-03-30**。说明该地址在 2011 年春季收到过两笔资金，之后未再进账。
- **转出（send）**：共 **1 笔**，发生在 **2014-01-15**。说明在 2014 年初有过一次支出行为，此后钱包彻底静默。
- **近期活动**：近 30 天转入/转出均为 **0**，确认该地址目前无任何活跃交易。
- **未同步数据**：除上述统计外，暂无更细粒度的交易金额、对手地址等链上明细，如需进一步分析需补充交易哈希或区块浏览器导出数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：该钱包余额为 **2 BTC**，业务标注“余额很小”为 **否**，即余额明确不为 0。这与“余额为 0 的空钱包”完全不同，属于有实际资产待恢复的状态。
- **明文密码状态**：强证据字段显示 **“已知密码存在”为否**。即我们**尚未获得任何明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立，当前仍处于“密码未知、尝试验证中”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回密码线索**：回忆或搜索 2011–2014 年间与该钱包相关的笔记、邮件、云盘备份，重点找“口令”“passphrase”“wallet”等关键词。
2. **密码习惯档案**：整理机主当年常用的密码组合规则（如生日+姓名、键盘路径等），作为验证候选，但需注意合规性。
3. **交易对手信息**：补充 2011 年两笔转入和 2014 年一笔转出的完整交易哈希与对手地址，可能关联到交易所账户或熟人，辅助回忆。
4. **钱包文件备份版本**：查找是否存在同一钱包的早期备份（如 2011 年刚创建时的版本），早期版本可能未加密或使用弱口令。
5. **系统残留文件**：检查当年运行该钱包的电脑/虚拟机镜像，是否有 `wallet.dat` 的同目录配置文件、日志或未删除的临时文件。
6. **时间节点交叉验证**：结合 2014-01-15 转出操作前后的邮件、聊天记录，确认当时是否修改过密码。
7. **硬件/介质检查**：确认该钱包是否曾导出过私钥或助记词到 U 盘、打印纸等物理介质。
8. **专业取证服务**：若以上均无果，可委托合规的数字取证机构进行非破坏性恢复评估（注意保管好原始文件，勿复制修改）。

### 7. 已尝试方向回顾（避免重复投入）
- **常规口令猜测**：已基于常见弱口令、生日、简单数字组合进行过一轮验证，未命中。
- **钱包格式解析**：已确认文件为 `bitcoin_legacy_bdb`，排除了格式损坏或版本不兼容导致无法读取的问题。
- **链上活跃度排查**：已确认该地址自 2014 年后无交易，排除“资金已被转走”的可能，余额 2 BTC 仍在链上。
- **未尝试方向**：尚未进行任何可能破坏文件的暴力穷举（且出于安全规范，不建议自行实施），也未对历史备份介质进行深度扫描。