BTC 钱包风险检测与恢复评估 #1070

### 1. 一句话结论
这是一个余额极小的 BTC 旧版钱包（`bitcoin_legacy_bdb`），目前**尚未获得明文密码**，且链上交易记录**未同步**，因此无法确认任何转入/转出活动；业务标注的“余额很小”与“是否破解成功”是两回事，请勿混淆。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID `1070`，主地址 `1DEiGZGGEhRctqf9GbvHkrHPtr6EQ2rPvw`，币种 BTC。
- **文件信息**：文件名 `wallet_2,695.dat`，大小 `417792` 字节，格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 格式）。
- **余额状态**：当前余额 `0.00075345 BTC`，业务系统标注为“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有**强证据表明已拿到明文密码。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着转入/转出时间、方向均**未知**。
- **时间线**：录入时间 `2026-06-23 00:39:07`，数据标注日期 `2026-06-23 00:57:27`，最近更新 `2026-08-06 09:11:01`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统收录了这份名为 `MEGA-BONUS_wallet_2,695` 的旧版 BTC 钱包文件。从路径看，它来自一个标注为 `unknown` 的目录，文件体积约 408 KB，符合早期 Bitcoin Core 钱包的典型大小。

我们首先确认了它的格式为 `bitcoin_legacy_bdb`，这决定了后续处理工具链的选型。随后读取了主地址和余额，发现余额仅为 0.00075345 BTC，业务侧随即打上了“余额很小”的标签——这个标签只用于提示“经济价值低”，**并不代表密码已经解开**。

在尝试访问钱包内容的过程中，我们始终没有拿到任何“已知密码存在”的强证据（相关字段仍为“否”）。同时，链上交易记录一直处于“未同步”状态，所以无法通过地址反查来推断最后活动时间。目前我们停留在“文件已解析、密码未破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认。如需精确的“最后转出时间”，需先在页面点击“同步交易”拉取链上数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标记“余额很小（≤阈值）”，这是基于当前余额 `0.00075345 BTC` 的**经济价值判断**，与密码破解无关。
- **密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，也没有任何“验证成功”的证据。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认最后活动时间与交易对手方。
2. **补充钱包来源信息**：提供该 `.dat` 文件的原始来源（如旧电脑备份、U 盘、云盘），有助于缩小密码猜测范围。
3. **提供可能的密码线索**：若用户记得任何相关短语、数字组合或旧密码习惯，可显著提升后续验证效率。
4. **检查同批次钱包**：路径中 `MEGA-BONUS` 前缀暗示可能存在同系列钱包文件，对比其他钱包的命名规律可能有用。
5. **确认钱包版本**：补充该钱包创建时的 Bitcoin Core 版本号，以确认 `bdb` 格式的具体变体。
6. **检查文件完整性**：确认 `417792` 字节的文件是否完整（有无截断或损坏），避免因文件问题导致无法读取。
7. **查询地址历史标签**：在区块链浏览器中查看 `1DEiGZGGEhRctqf9GbvHkrHPtr6EQ2rPvw` 是否关联已知交易所或服务商。
8. **补充用户身份线索**：若该钱包属于某特定活动（如“MEGA-BONUS”奖励），可回溯活动规则获取密码生成逻辑。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与解析**：已确认是 `bitcoin_legacy_bdb` 旧版格式，并成功读取主地址与余额——此方向已完成，无需重复。
- **密码验证尝试**：已进行过一轮验证，但结果字段仍为“否”，说明当前尝试未成功。**不要**重复使用相同方法或相同字典，应优先补充新线索（见第 6 节）。
- **链上数据拉取**：尚未执行“同步交易”，因此**不要**假设“没有交易”或“余额为 0”，实际是“未同步”状态。
- **业务标注确认**：已明确“余额很小”是业务阈值标注，与破解状态无关，后续无需再对此字段做重复解读。