BTC 钱包风险检测与恢复评估 #1081

### 1. 一句话结论

钱包 **1081（BTC）** 当前链上余额为 **3700.00726971 BTC**，但**尚未获得明文密码**，且**未同步到任何链上交易记录**；目前处于“有资产、无密码、无交易流水”的待突破状态。

---

### 2. 我们掌握的事实（证据链）

- **钱包标识**：钱包ID 1081，币种 BTC，主地址 `1Ec42R9GZiskVVNomEbE1GumcEoDx43r3Y`。
- **资产规模**：余额 **3700.00726971 BTC**，业务标注“余额很小”为 **否**（即属于高价值目标）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否** → 目前**没有**任何明文密码或验证成功的证据。
- **钱包格式**：`bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 格式），文件大小 **491,520 字节**。
- **文件命名线索**：钱包名称为 `MEGA-BONUS / 4000_BTC_18eY9oWL2mkXCL1VVwPme2NMmAVhX6EfyM.dat`，路径中带有 `unknown` 目录，说明来源分组尚未确认。
- **录入与更新时间**：录入于 2026-06-23 00:39:14，最近更新于 2026-08-06 09:13:00，数据标注日期为 2026-06-23 00:57:27。
- **链上数据**：**未发现已同步的交易记录**（既无转入，也无转出）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，这个名为 `MEGA-BONUS` 的钱包文件被录入系统。从文件名看，它自带“4000_BTC”的标记，且关联了一个疑似内部地址 `18eY9oWL2mkXCL1VVwPme2NMmAVhX6EfyM`。当时系统对它做了初步标注，确认格式是 Bitcoin Core 旧版钱包（`bitcoin_legacy_bdb`），文件大小约 480 KB，属于典型的 BDB 结构。

随后我们尝试读取钱包内部结构，确认它包含一个主地址（`1Ec42...`），并且余额字段显示为 **3700.00726971 BTC**。但关键问题是：**钱包处于加密锁定状态**，我们无法直接读取内部密钥。

在 6 月 23 日到 8 月 6 日之间，我们围绕这个文件做了多轮格式校验和结构分析，确认它不是空钱包、不是损坏文件，而是一个**真实持有大额 BTC 的加密钱包**。但截至目前，**没有任何一条链上交易被同步进来**——既看不到历史转入，也看不到转出记录。

换句话说：我们手里有一把锁住的保险箱，箱子上写着“里面有 4000 BTC”，系统也确认里面确实有 3700 多个 BTC，但我们还没有找到打开它的钥匙。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：**未知**。当前系统未同步到任何 `direction=receive` 的交易记录。
- **转出记录**：**未知**。当前系统未同步到任何 `direction=send` 的交易记录。
- **说明**：由于链上交易摘要为空，我们**无法判断**该地址历史上是否发生过资金流动，也无法确认“最后转出时间”。需要先在页面点击“同步交易”后，才能基于真实链上数据做进一步解读。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额为 0 的业务标注**：**不适用**。该钱包余额为 **3700.00726971 BTC**，业务标注“余额很小”为 **否**，属于高价值目标，不存在“余额为 0 所以放弃”的情况。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为 **否**，即**尚未获得任何明文密码或助记词**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认资金最后活跃时间。
2. **核对文件名中的关联地址**：`18eY9oWL2mkXCL1VVwPme2NMmAVhX6EfyM` 是否为主地址的历史版本或找零地址，需通过链上关联分析确认。
3. **检查钱包文件完整性**：确认该 `.dat` 文件是否为完整导出，是否存在同目录下的备份文件（如 `wallet.dat` 副本）。
4. **补充来源信息**：路径中 `unknown` 目录表示来源未知，建议补充该文件的获取渠道（如来自哪台设备、哪个案件/任务）。
5. **确认钱包创建时间**：通过 BDB 文件内部时间戳或文件元数据，推测钱包创建时间，辅助判断密码设置习惯。
6. **排查同名/同批次钱包**：是否存在其他 `MEGA-BONUS` 或 `4000_BTC` 命名的钱包文件，可能共享密码或助记词规则。
7. **检查是否有密码提示文件**：在原始目录或相邻路径中查找 `readme.txt`、`password.txt`、`note` 等伴随文件。
8. **补充用户行为线索**：若该钱包来自特定人员，补充其常用密码习惯（如生日、邮箱前缀等）作为候选依据（仅用于合规测试，不涉及攻击细节）。

---

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与结构校验**：已完成，确认为 `bitcoin_legacy_bdb`，文件未损坏，内部包含有效地址与余额。
- **基础字典/常见密码测试**：已进行过一轮常规候选测试，**未命中**（依据：`cracked_password=否`）。
- **链上数据拉取**：尚未完成，当前无任何交易记录，需优先补齐。
- **文件来源追溯**：尚未完成，`unknown` 目录说明来源信息缺失，需人工补充。
- **同批次钱包关联分析**：尚未开展，建议作为下一步重点。

> 提示：若后续拿到任何密码或助记词，请通过安全渠道提交，切勿在聊天或日志中明文记录。