BTC 钱包风险检测与恢复评估 #1141

### 1. 一句话结论
这是一份BTC旧版钱包（bitcoin_legacy_bdb）的取证复盘：当前余额为1.71601113 BTC，但**尚未获得明文密码**（已知密码存在=否），且业务标注“余额很小”为否，说明该钱包仍具备较高价值与继续推进的必要性。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1141，主地址 `1PEbNwPneV4zs25tGEtXai38R9DX7Ly9mq`，文件名为 `1PEbNwPneV4zs25tGEtXai38R9DX7Ly9mq.dat`，格式为 `bitcoin_legacy_bdb`，大小 57344 字节。
- **余额与状态**：当前余额 1.71601113 BTC；业务标注“余额很小(≤阈值)”为**否**，即余额未达低价值阈值。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即目前**未拿到明文密码**。
- **录入与更新时间**：录入于 2026-06-23 00:40:28，数据标注日期为 2026-06-23 00:58:22，最近更新于 2026-08-06 10:11:01。
- **交易统计**：转出（send）1 笔，转入（receive）12 笔；最后转出 2013-04-03，最后转入 2022-11-26；近30天转入/转出均为 0；交易跨度 4161 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日拿到这份 `.dat` 文件时，首先确认了它的格式与版本——`bitcoin_legacy_bdb`，这是 BTC 早期常用的 Berkeley DB 钱包格式，文件大小 57344 字节，属于典型的小型钱包文件。我们随即核对了主地址与链上交易摘要，确认该地址在 2013 年有过一笔转出，之后在 2022 年 11 月有一次转入，说明这个钱包在近十年间仍有资金回流，并非完全废弃。

在推进过程中，我们重点检查了“是否已拿到密码”这一关键节点。根据强证据字段，目前 `cracked_password/actual_password` 为否，因此我们**没有**对外宣称已破解，也没有进入任何需要明文密码才能执行的后续步骤。我们目前停留在“已确认钱包有效、余额充足、但密码未知”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 12 笔，最后一笔发生在 2022-11-26 04:13:58。近30天转入笔数为 0。
- **转出（send）**：共 1 笔，发生在 2013-04-03 12:33:54。近30天转出笔数为 0。
- **解读**：该钱包在 2013 年有过一次支出，之后长期以接收为主，最近一次入账在 2022 年。当前余额 1.71601113 BTC 与“转入 12 笔、转出 1 笔”的统计在方向上一致（即净流入为主）。**未同步/未知**：我们目前没有该地址更细粒度的逐笔金额与对手方地址数据，因此无法判断每笔转入的具体来源。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：为**否**，即该钱包余额 1.71601113 BTC 未达到“低价值/可放弃”的阈值，业务上仍值得继续投入。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 为否，因此我们**尚未获得明文密码**，也未验证任何候选密码。所有涉及“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上逐笔明细**：获取该地址 12 笔转入与 1 笔转出的完整交易哈希、金额、对手地址，用于判断资金性质与可能关联的钱包。
2. **查找钱包文件来源上下文**：该文件路径包含 `MEGA-BONUS_57 файлов BTC LTC DOGE`，建议补充该压缩包/文件夹的完整清单，确认是否有同批其他币种钱包可交叉验证。
3. **确认钱包创建时间与首次使用时间**：通过文件元数据或链上最早交易时间，推断密码设置习惯的时间窗口。
4. **收集与地址相关的历史备注**：如论坛、交易平台、邮件中是否出现过该地址或文件名，可能包含密码提示。
5. **检查同批次其他钱包文件**：若同一目录下存在其他 `.dat` 文件，可对比其文件结构、修改时间，判断是否为同一工具批量生成。
6. **获取钱包文件哈希与完整性校验值**：便于后续与备份副本比对，排除文件损坏或部分写入的可能。
7. **补充“已知密码存在”字段的判定依据**：明确该字段为否是“未尝试”还是“尝试后失败”，以便决定下一步资源投入。
8. **寻找钱包所有者的历史联系方式**：若该地址曾在公开渠道（如BitcoinTalk、签名消息）出现，可尝试合规联系。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与基础校验**：已确认钱包为 `bitcoin_legacy_bdb`，文件大小 57344 字节，路径与文件名已记录，无需重复做格式探测。
- **密码状态确认**：已核实 `cracked_password/actual_password` 为否，说明当前**未进入“已拿到密码”阶段**，后续不应基于“已破解”前提做任何操作。
- **交易方向统计**：已完成转入/转出笔数与时间跨度统计，近30天无活动，无需重复拉取该维度的概要数据。
- **业务价值判断**：已确认“余额很小”标注为否，即该钱包不属于低价值放弃范畴，后续无需再讨论“是否值得继续”的问题。