BTC 钱包风险检测与恢复评估 #943

### 1. 一句话结论
这是一个**余额不为零（1.9298 BTC）但尚未获得明文密码**的比特币 Legacy 钱包（ID 943），其链上活动集中在 2013 年 12 月底至 2014 年初的 3 天内，此后长期休眠；当前取证进度停留在“已获取钱包文件与链上摘要”，破解验证尚未成功。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 943，币种 BTC，主地址 `1BpehDQS3JHQmH3p8y1PrG6sycJ8S4z677`（已脱敏处理地址细节）。
- **余额状态**：当前余额 **1.92980000 BTC**，业务标注“余额很小”为 **否**（即不因余额低而放弃）。
- **文件信息**：钱包文件为 `bitcoin_legacy_bdb` 格式（BDB 数据库），文件名 `..._btc_1Bpeh...677.dat`，大小 90112 字节，路径位于 `.../MEGA-BONUS_57 файлов BTC LTC DOGE_btc_.../` 目录下。
- **录入与更新时间**：录入 2026-06-23 00:37:01，数据标注 2026-06-23 00:58:22，最近更新 2026-08-06 07:21:30。
- **链上交易摘要**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）2 笔，最后转出时间 **2013-12-31 06:10:19**。
- 转入（receive）3 笔，最后转入时间 **2013-12-30 20:57:30**。
- 交易时间跨度仅 **3 天**；近 30 天转入/转出均为 0。
- **密码状态**：已知密码存在（强证据字段 `cracked_password/actual_password`）为 **否**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一批名为“MEGA-BONUS_57 файлов BTC LTC DOGE”的遗留数据集中定位到了这个 `.dat` 文件。首先确认了它的格式是比特币早期的 Legacy BDB 钱包，并成功读取到主地址与余额（1.9298 BTC）。随后我们拉取了链上交易摘要，发现这个地址只在 2013 年 12 月 30 日至 31 日之间活跃过：先有 3 笔转入，紧接着 2 笔转出，之后 12 年多再无动静。基于这些事实，我们判断这是一个“历史遗留钱包”，并非近期活跃账户。目前我们手上有完整的钱包文件副本，也确认了余额真实存在，但**尚未验证出明文密码**——所有关于密码的尝试都还停留在“未成功”状态，没有强证据字段支持“已破解”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 3 笔，最后一笔发生在 **2013-12-30 20:57:30**。近 30 天转入为 0。
- **转出（send）**：共 2 笔，最后一笔发生在 **2013-12-31 06:10:19**。近 30 天转出为 0。
- **整体模式**：所有链上活动集中在 3 天内完成，之后地址进入休眠。当前余额 1.9298 BTC 是“转入总额减去转出总额”后的净留存，但**具体每笔金额与对手地址未在本次数据中提供**，故无法进一步判断资金流向性质（如是否找零、是否归集等）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：该钱包余额 **1.9298 BTC**，业务标注“余额很小”为 **否**——即不因余额低而放弃，具备继续跟进的业务价值。
- **明文密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即 **尚未获得明文密码/助记词/私钥**。所有关于“已破解”的说法均不成立，当前仍处于“有文件、无密码”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件完整校验信息**：提供该 `.dat` 文件的 SHA-256 哈希，便于确认文件完整性并交叉比对其他副本。
2. **调取完整链上交易明细**：获取这 5 笔交易（3 转入 + 2 转出）的金额、对手地址、手续费，用于判断余额构成与找零地址。
3. **查找同批次数据集线索**：该文件来自“MEGA-BONUS_57 файлов BTC LTC DOGE”目录，建议收集同目录下其他钱包文件的关联信息（如是否同一批生成、是否有备注密码的附属文件）。
4. **检索历史备份或笔记**：在原始数据源中搜索该地址或文件名相关的文本记录（如 TXT、CSV、邮件导出），可能包含密码提示或旧笔记。
5. **确认钱包创建时间线索**：通过 BDB 文件内部元数据（如 `mkey` 加密时间戳）推断钱包生成时间，缩小密码设置时期范围。
6. **核对地址关联性**：查询该地址在 2013 年 12 月前后的公开论坛/水龙头/交易所提现记录，判断资金来源是否与特定平台活动相关。
7. **检查是否有同源钱包已破解**：若同批次其他钱包已成功验证密码，可对比其密码特征（仅限特征，不涉及明文），评估是否同批次使用相似密码策略。
8. **补充“已知密码存在”字段的判定依据**：明确该字段为“否”是因为从未尝试，还是尝试后失败；若已尝试，请提供尝试次数与时间范围。

### 7. 已尝试方向回顾（避免重复投入）
- **文件读取与格式识别**：已完成，确认是 `bitcoin_legacy_bdb` 格式，可正常解析地址与余额。
- **链上摘要拉取**：已完成，确认 5 笔交易及时间跨度，但未获取逐笔明细。
- **密码验证状态**：根据强证据字段，当前**没有成功验证的密码记录**。若此前有过字典/规则尝试，均未成功，且未留下有效结果——建议不要盲目重复相同范围的猜测，优先转向线索补充（见第 6 节）。
- **未涉及方向**：尚未进行同批次文件关联分析、历史备份检索、链上对手地址深挖，这些是下一步重点。