BTC 钱包风险检测与恢复评估 #1018

### 1. 一句话结论
这是一枚持有约 **169 BTC** 的 Legacy 格式比特币钱包（ID 1018），当前**尚未获得明文密码**，但链上数据显示它在 2013 年有过一次转出、并在 2025 年有过一次转入，整体交易活跃度极低，属于典型的“沉睡后苏醒”型资产。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_169.dat`，大小 172,032 字节，格式为 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包），录入于 2026-06-23，最后更新于 2026-08-18。
- **余额**：169.00015338 BTC，业务标注为“余额不小”（未达小额阈值）。
- **密码状态**：`cracked_password/actual_password = 否`，即**没有**任何强证据表明已拿到明文密码。
- **主地址**：`1EkH3W49LiuWmVBtWnDkJrdfzfhgqSmbVv`（BTC 传统地址）。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）：1 笔，最后发生在 **2013-04-09**。
- 转入（receive）：9 笔，最后发生在 **2025-11-17**。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 5384 天（约 14.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个 172KB 的 `.dat` 文件，通过文件头与格式识别，确认它是 2010 年代早期的 Bitcoin Core 钱包（BDB 存储）。这类钱包的密钥结构相对古老，但**不意味着容易打开**——我们首先检查了钱包文件本身的完整性，确认没有损坏或截断。

随后我们提取了主地址与余额信息，发现余额高达 169 BTC，且最后一次转入发生在 2025 年 11 月，说明这个钱包在近期被重新使用过（或有人向该地址打款）。但**转入不等于钱包被解锁**——它只代表有人向该地址发送了比特币。

在密码验证环节，我们尝试了常规的合规校验流程（例如检查是否为空密码、是否与文件名/路径相关的弱口令模式），但**所有尝试均未获得强证据支持**。目前 `cracked_password` 字段仍为“否”，意味着我们**没有**拿到可用的明文密码或助记词。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2013-04-09**。这说明钱包在 2013 年曾主动支付过一笔款项，之后长达 12 年没有动过钱。
- **转入（receive）**：共 9 笔，最后一笔在 **2025-11-17**。最近一笔转入距离数据更新日（2026-08-18）已超过 30 天，因此近 30 天活跃度为 0。
- **未同步/未知**：我们**没有**每笔交易的金额、对手地址或时间戳明细，因此无法判断 2025 年的转入是“原路退回”还是“新收款”。若需进一步分析，需补充 `wallet_transactions` 的完整明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 169 BTC，**不满足**“余额很小（≤阈值）”的标注，因此它属于高价值目标，业务上会优先投入资源。
- **密码状态**：`cracked_password = 否`。我们**尚未**获得明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。当前仍处于“持有密文、未验证通过”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 `wallet_transactions` 完整明细**（含每笔金额、时间戳、对手地址），用于判断 2025 年转入的性质。
2. **检查钱包文件内是否残留历史密钥槽位**（如旧地址、找零地址），可能关联到其他已知钱包。
3. **调取 2013 年转出交易的找零地址**，看是否与当前主地址属于同一 HD 派生链（若为老式非 HD 钱包则跳过）。
4. **核实钱包文件路径中的 `MEGA-BONUS` 关键词**，确认是否来自某个已知活动/空投的批量生成钱包。
5. **检查同批次其他钱包文件**（如 `wallet_168.dat`、`wallet_170.dat`）是否存在共用口令规律（仅做规律比对，不涉及攻击）。
6. **确认 2025-11-17 转入的发起方**——若为交易所地址，则可能关联到 KYC 身份线索。
7. **补充钱包创建时间**（可通过 BDB 内部时间戳或首个区块高度推断），用于缩小口令生成时间范围。
8. **确认该钱包是否曾被导入过其他设备**（如手机 App 或硬件钱包），以判断是否使用了非标准口令生成规则。

### 7. 已尝试方向回顾（避免重复投入）
- **基础弱口令检查**：已尝试空密码、文件名变体（如 `wallet_169`、`169BTC`）、路径关键词（`fake.czb.com`、`MEGA-BONUS`）等常见组合，均未通过验证。
- **格式兼容性验证**：已确认 BDB 格式可被标准工具读取，排除了“文件损坏导致无法验证”的可能。
- **交易活跃度分析**：已确认 2013 年后长期休眠，2025 年有单笔转入，但未发现近期频繁操作痕迹。
- **未投入方向**：未进行任何暴力破解或字典攻击（合规限制），也未尝试从内存/进程转储中提取密钥（无现场环境）。后续应优先补充外部线索（如第 6 节所列），而非重复基础口令测试。