BTC 钱包风险检测与恢复评估 #1249

### 1. 一句话结论
这是一枚**BTC 老钱包**（2014年活跃、2024年彻底沉寂），当前链上余额为 **0 BTC**，且**尚未获得明文密码**；业务标注“余额很小”与“是否破解成功”是两回事，目前证据链显示它更像一个**历史遗留空壳钱包**，而非待解锁的金库。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1249，BTC 主地址 `1Chg7ASXLtqMyNjnPGjrfwtUe7grTRHsut`，格式为 `bitcoin_legacy_bdb`（老版 Bitcoin Core 钱包）。
- **文件信息**：钱包名 `wallet_17,08BTC / wallet_17,08.dat`，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_17,08BTC...`，文件大小 **57344 字节**（约 56 KB，属于小型钱包文件）。
- **余额状态**：当前链上余额 `0.00000000 BTC`，且业务侧已打标“余额很小（≤阈值）”。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即**没有强证据表明已拿到明文密码**。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转入 7 笔，最后转入 **2014-02-17**；
- 转出 2 笔，最后转出 **2024-03-10**；
- 近 30 天转入/转出均为 0；
- 交易跨度 **3807 天**（约 10.4 年）。
- **时间线**：录入 2026-06-23，最后更新 2026-08-07，数据标注日期 2026-06-23。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初进入视野，是因为它躺在名为 `MEGA-BONUS` 的批量钱包数据集里，文件名自带“17,08BTC”字样，容易让人误以为里面锁着 17 个比特币。我们按标准流程做了三件事：

1. **先看链上，再碰文件**：我们优先拉取了该地址的链上交易摘要，发现它 2014 年有过 7 笔转入，2024 年有过 2 笔转出，之后彻底沉寂。链上余额归零，说明**资金早已被转走**，而不是“还在里面等密码”。
2. **再核对钱包文件**：文件大小仅 56 KB，符合老版本 Bitcoin Core 钱包特征，但文件本身只是“钥匙串”，不直接等于余额。我们检查了业务侧标注，确认“余额很小”是系统基于链上余额打的标，**与密码破解进度无关**。
3. **最后确认破解状态**：在事实数据中，`cracked_password` 字段为“否”，因此我们**没有声称已拿到密码**。当前阶段，这枚钱包的优先级已从“潜在高价值目标”降级为“历史空壳档案”。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 7 笔，最后一笔发生在 **2014-02-17**。说明该地址在 2014 年曾作为收款地址使用，但此后 10 年再无入账。
- **转出（send）**：共 2 笔，最后一笔发生在 **2024-03-10**。说明在 2024 年 3 月有过一次清空操作（结合余额为 0，可推断资金已转出）。
- **近期动态**：近 30 天转入/转出均为 0，钱包已完全休眠。
- **未知项**：我们**没有**交易哈希、对手地址、具体金额明细等字段，因此无法判断“转出是主动清仓还是被动归集”，也无法还原资金去向。若需进一步分析，需补充 `wallet_transactions` 的完整明细（含 txid、金额、对手地址）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：这是基于链上余额 `0.00000000 BTC` 的客观判断，表示“这个地址里没有可动用的币”，**与密码无关**。
- **是否拿到明文密码**：**否**。事实数据中 `cracked_password / actual_password` 为“否”，因此我们**尚未获得任何明文密码、助记词或私钥**。任何“已破解”的说法均无事实依据。
- **结论**：即使未来拿到密码，也只能打开一个空钱包文件，里面没有可提取的 BTC。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上交易明细**（txid、金额、对手地址），确认 2024-03-10 那笔转出到底转给了谁——这是判断“资金是否可追”的唯一线索。
2. **核对钱包文件内是否包含其他地址**：老格式 BDB 钱包可能含多个密钥，需确认是否只有这一个主地址。
3. **检查同批次数据集**（`MEGA-BONUS...250_wallet`）中其他钱包是否也呈现“2014 转入、2024 转出”的规律，判断是否为批量归集操作。
4. **调取钱包文件创建时间与最后修改时间**（文件系统元数据），辅助判断文件是否在 2024 年后被改动过。
5. **确认该地址是否曾参与已知交易所或服务商充值**（如通过地址标签库），还原资金来源。
6. **获取该钱包的 `wallet.dat` 哈希值**，与公开泄露的旧钱包库做比对，排除重复样本。
7. **查询 2014-02-17 前后 BTC 价格与网络手续费**，辅助判断当时转入是否为“批量分发”而非个人充值。
8. **若业务侧有“钱包来源说明”或“导入批次备注”**，请一并提供——这能解释为何文件名带“17,08BTC”但实际余额为 0。

---

### 7. 已尝试方向回顾（避免重复投入）
- **链上余额核查**：已完成，确认余额为 0，无需再重复拉取余额。
- **交易方向统计**：已完成，转入/转出笔数与时间点已明确，无需重新统计。
- **密码状态确认**：已确认 `cracked_password` 为“否”，**不要**再投入资源去跑字典或规则测试——因为即使成功，钱包也是空的。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，无需再做格式猜测。
- **业务标注核对**：已确认“余额很小”是链上余额的客观反映，**不是**“余额小但密码未破”的暗示。

> 下一步若想推进，重点应放在**链上资金流向追踪**（2024 年那笔转出去了哪），而不是继续尝试破解密码。