BTC 钱包风险检测与恢复评估 #212

### 1. 一句话结论
这是一个余额极小的 BTC 遗留钱包（ID 212），目前我们**尚未获得明文密码**，但已确认其包含主密钥（MKey），且历史上只进不出、转入 25 笔，属于典型的“沉睡型”资产，下一步重点应放在**文件来源与关联钱包线索**上，而非继续盲目测试。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1EdrQwSXQYFKZKim3fX7jKTiR5gmjsjT64`，格式为 `bitcoin_legacy_bdb`（老版 Bitcoin Core 钱包）。
- **余额**：仅 `0.00004143 BTC`，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有拿到明文密码**。
- **文件信息**：文件名 `wallet_131,63BTC_wallet_131,63.dat`，大小 131072 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_131,63BTC` 数据集。
- **主密钥**：包含主密钥（MKey），说明文件结构完整，未损坏。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：0 笔
- 转入（receive）：25 笔
- 最后转入时间：2026-05-23 06:00:03
- 近 30 天转入/转出：均为 0
- 交易时间跨度：2532 天（约 6.9 年）
- **时间线**：录入 2026-05-17，数据标注 2026-06-23，最后更新 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为它来自一个名为“MEGA-BONUS BITCOIN CORE WALLETS”的批量数据集，编号 250，文件名里带着“131,63BTC”字样——这让我们一度以为它可能对应一笔较大的历史资产。

我们首先做了**文件体检**：确认它是 Bitcoin Core 老版格式（`bitcoin_legacy_bdb`），文件大小 131072 字节，结构完整，且**包含主密钥**。这说明文件本身没有损坏，问题只在于“能否解开”。

接着我们拉取了链上交易记录。结果很清晰：**25 笔转入、0 笔转出**，最后转入发生在 2026 年 5 月 23 日，之后彻底沉寂。余额只有 0.00004143 BTC，业务系统也自动打了“余额很小”的标签。

在密码层面，我们尝试过常规的恢复流程，但截至目前，**没有任何字段表明密码已被找到**。换句话说，我们手里有一把“锁”，但还没配出钥匙。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 25 笔，最后一笔发生在 2026-05-23 06:00:03。近 30 天转入为 0。
- **转出（send）**：共 0 笔。近 30 天转出为 0。
- **最后转出时间**：未知（无数据）。
- **解读**：这是一个**只进不出的钱包**，历史上从未发生过支出。结合余额极小，推测它可能是某个批量生成或历史遗留的“归集/接收”地址，而非活跃交易钱包。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小（≤阈值）”**：这是系统基于当前余额 `0.00004143 BTC` 的自动判断，**不代表钱包已破解**，也不代表余额曾经为 0。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **关联钱包文件**：数据集名称含“250_wallet”，建议调取同批次其他钱包文件，比对文件名规律与结构，寻找共用密码或派生关系。
2. **文件来源元数据**：补充该 `.dat` 文件的创建时间、修改时间、原始下载/备份来源，判断是否来自公开泄露包或内部归档。
3. **地址历史备注**：在链上查询 `1EdrQwSXQYFKZKim3fX7jKTiR5gmjsjT64` 的早期交易对手方，看是否有交易所标签或已知实体。
4. **MKey 用途确认**：确认该主密钥是否仅用于地址派生，还是同时用于加密密钥存储（这会影响后续恢复路径）。
5. **同批次“131,63BTC”命名线索**：核实该数字是否对应某历史快照余额，或仅是文件命名规则。
6. **钱包版本兼容性**：确认该 BDB 文件是否曾被新版 Bitcoin Core 打开过（可能触发自动升级，改变加密结构）。
7. **用户侧补充材料**：若该钱包来自某用户提交，请补充用户提供的任何密码提示、旧笔记或备份习惯说明。
8. **链上活跃度复核**：确认 2532 天跨度内是否有“零确认”或未同步的交易记录，避免统计遗漏。

---

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认文件可读、包含 MKey，结构无损坏——**无需重复**。
- **常规密码恢复流程**：已执行过一轮，但结果字段仍为“否”，**不应在无新线索时盲目重试**。
- **交易方向统计**：已完成转入/转出梳理，结论明确（0 转出 / 25 转入），**无需重新统计**。
- **余额业务标注**：已确认“余额很小”是系统自动标注，**不代表破解状态**，后续不必再纠结该字段。

> 下一步应聚焦“线索补充”而非“重复尝试”。在拿到新的关联文件或用户侧信息之前，不建议对该钱包投入更多计算资源。