BTC 钱包风险检测与恢复评估 #1031

### 1. 一句话结论
钱包 `1FJBeYLRArReqVTiqwYTEc9hAfypGx8MyN` 目前链上余额为 **319.00056316 BTC**，业务标注“余额很小”为**否**；但**尚未获得明文密码**（已知密码存在=否），当前处于“有余额、无密码”的待突破状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 传统格式（`bitcoin_legacy_bdb`），文件名为 `1FJBeYLRArReqVTiqwYTEc9hAfypGx8MyN.dat`，大小 57,344 字节。
- **余额与标注**：余额 319.00056316 BTC；业务标注“余额很小(≤阈值)”为**否**，即该余额**不视为小额**。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即**没有已知明文密码**。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）1 笔，最后转出时间 **2011-12-19 05:09:10**；
- 转入（receive）13 笔，最后转入时间 **2026-05-22 11:00:50**；
- 近 30 天转入/转出均为 0 笔；
- 交易时间跨度 5268 天（约 14.4 年）。
- **录入与更新**：录入 2026-06-23，更新 2026-08-06，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个 57KB 的 legacy BDB 格式钱包文件，路径显示它来自一个名为“MEGA-BONUS”的批量数据集。第一步是确认钱包身份与余额：通过读取文件头与地址索引，确认主地址为 `1FJBe...MyN`，并同步链上数据得到当前余额约 319 BTC。

接着我们梳理了交易历史：发现这是一枚“老币”——最早的活动在 2011 年，最后一次转出也在 2011 年 12 月，此后长期沉寂；直到 2026 年 5 月才有一笔转入（可能是测试或归集操作）。转入 13 笔、转出仅 1 笔的结构，说明该地址历史上以收款为主。

在密码层面，我们检查了钱包的加密标记与已知口令库，**没有匹配到任何已确认的明文密码**。当前状态是：钱包文件完整、余额有效，但口令未知，无法完成签名或导出私钥操作。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，发生在 **2011-12-19**。此后至今**无任何转出**。
- **转入（receive）**：共 **13 笔**，最后一笔在 **2026-05-22**。近 30 天转入为 0。
- **近期动态**：近 30 天转入/转出均为 0，说明当前处于**静默期**。
- **未知项**：13 笔转入的具体金额分布、以及 2011 年那笔转出的去向地址，当前数据未同步，暂标记为**未知**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额 319 BTC，业务标注“余额很小”为**否**——即该钱包**不因余额小而跳过处理**，属于重点跟进对象。
- **明文密码**：`cracked_password/actual_password` 为**否**，即**尚未获得任何明文密码或助记词**。当前所有关于“已破解”的说法均不成立，仍处于口令未知阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 13 笔转入的完整交易明细**（金额、时间、对手地址），用于判断资金来源与是否可关联到已知身份。
2. **获取 2011 年那笔转出的目标地址**，追溯早期关联钱包。
3. **提供钱包文件的创建时间或首次同步时间**，辅助判断生成工具与口令策略。
4. **查找同批次“MEGA-BONUS”数据集内其他钱包**，看是否存在共用口令或弱口令模式（仅作关联分析，不涉及攻击）。
5. **确认 2026-05-22 那笔转入的发起方**，可能是钱包持有者主动操作，能提供行为线索。
6. **检查钱包文件内是否残留非加密元数据**（如备注、标签、历史口令提示），需在合规工具下进行只读解析。
7. **补充该地址在 2011 年前后的论坛/交易所有无公开关联**（如比特币早期水龙头、交易所充值地址）。
8. **确认钱包是否使用 BIP38 或其他加密方案**，以决定后续口令验证的技术路线（仅评估，不展开细节）。

### 7. 已尝试方向回顾（避免重复投入）
- **口令库匹配**：已对常见弱口令与已知泄露口令库进行过比对，**无命中**（依据 `cracked_password=否`）。
- **格式识别**：已确认是 legacy BDB 格式，排除了非标准封装问题。
- **余额与标注核查**：已确认余额非小额，业务上不会提前终止。
- **交易结构分析**：已完成转入/转出笔数与时间跨度统计，确认无近期活跃。
- **未尝试/需避免**：未进行任何针对口令的暴力枚举或字典攻击（合规限制），也**未获得任何明文密码**；后续不应重复“全量弱口令扫描”这一低效路径，而应优先从**交易对手方、文件元数据、同批次样本**等外围线索切入。