BTC 钱包风险检测与恢复评估 #1261

### 1. 一句话结论
钱包 1261（BTC，主地址 1CJmcx1TTdQuHRMn8F6aux9Ftqc1U8GEiH）当前链上余额为 324.04580622 BTC，但**尚未获得明文密码**，且业务标注“余额很小”为**否**，即该钱包并非因余额低而被放弃，仍值得继续推进。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1261，币种 BTC，格式为 `bitcoin_legacy_bdb`，文件名 `wallet_236.dat`，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_236BTC` 数据集。
- **余额与标注**：链上余额 324.04580622 BTC；业务标注“余额很小(≤阈值)”= **否**，说明余额规模未触发低价值标记。
- **密码状态**：`cracked_password/actual_password` = **否**，即目前没有强证据表明已拿到明文密码。
- **交易统计**：转出（send）107 笔，转入（receive）339 笔；最后转出 2016-01-05，最后转入 2026-05-22；近 30 天转入/转出均为 0；交易跨度 5474 天。
- **时间线**：录入 2026-06-23，数据标注同日，最近更新 2026-08-09，文件大小 1,835,008 字节。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从数据集目录中定位到 `wallet_236.dat`，确认其属于 Bitcoin Core 旧版 BDB 格式钱包。随后核对了链上地址与交易摘要，确认该钱包存在长期、多笔历史活动：转入 339 笔、转出 107 笔，跨度超过 15 年（5474 天），说明这不是一个空壳或测试钱包。余额字段显示 324.04580622 BTC，且业务标注未将其判定为“余额很小”，因此我们判断该钱包具有实际价值，值得继续投入。当前卡点在于：**没有强证据表明已获取明文密码**，所有后续动作都围绕“如何合法、合规地恢复访问权限”展开，而非直接破解。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 339 笔，最后一笔发生在 2026-05-22 11:29:47。近 30 天转入笔数为 0，说明近期没有新的收入入账。
- **转出（send）**：共 107 笔，最后一笔发生在 2016-01-05 10:54:57。近 30 天转出笔数为 0，说明近期没有支出动作。
- **净流向**：转入笔数（339）显著多于转出笔数（107），但**未同步**每笔金额，因此无法判断净流入/流出量，只能确认“转入频次高于转出频次”。
- **活跃期**：转出集中在 2016 年以前，转入持续到 2026 年，说明该钱包后期主要用于收款/归集，而非日常支付。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：“余额很小(≤阈值)”= **否**，即该钱包**不因余额低而被放弃**，业务上仍视为有价值资产。
- **密码状态**：`cracked_password/actual_password` = **否**，即**尚未拿到明文密码**，也没有任何强证据表明密码已被验证成功。所有“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回钱包创建时的备份文件或旧版 wallet.dat**，对比文件哈希，确认是否为同一版本。
2. **收集钱包所有者的历史备注/标签**，如文件名中 `MEGA-BONUS` 可能对应活动或批次，查找关联文档。
3. **调取 2016 年前后的转出交易对手地址**，尝试联系对方或查找公开论坛/交易记录中的备注。
4. **检查同一数据集目录下其他钱包文件**，看是否存在同批次、同密码策略的兄弟钱包。
5. **寻找钱包所有者的邮箱、社交媒体、客服工单**，看是否有密码提示或恢复线索。
6. **核对 2026-05-22 最后一笔转入的来源地址**，确认是否为已知交易所或托管方，可能留有联系方式。
7. **检查文件元数据（创建时间、修改时间）**，与录入时间比对，判断是否有多次保存记录。
8. **确认钱包是否使用旧版 BDB 加密格式**，若是，可评估是否有官方恢复工具或历史版本兼容方案。

### 7. 已尝试方向回顾（避免重复投入）
- **已确认**：钱包格式为 `bitcoin_legacy_bdb`，文件完整（1.8MB），非空壳。
- **已排除**：业务标注“余额很小”= 否，说明不是因低价值而搁置。
- **已核实**：交易统计完整，转入/转出笔数明确，近 30 天无活动，排除“近期活跃”假设。
- **未尝试**：没有证据表明已进行密码字典、规则枚举或暴力测试（且此类操作受安全规则限制，不建议自行实施）。
- **避免重复**：不要再单纯扫描文件路径或重复核对余额，应优先补充外部线索（联系人、备份、关联钱包）。