BTC 钱包风险检测与恢复评估 #1263

### 1. 一句话结论
这是一个持有约 **320.9 BTC** 的 Legacy 格式比特币钱包（`wallet_89.dat`），链上活动活跃但近30天静默；**目前尚未获得明文密码**，且业务标注显示余额不为零，仍需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID `1263`，名称 `wallet_89BTC`，文件 `wallet_89.dat`，格式 `bitcoin_legacy_bdb`（老版 Bitcoin Core 钱包）。
- **资产规模**：余额 `320.91537180 BTC`，业务标注“余额很小=否”，即**不适用小额放弃规则**。
- **关键状态**：`cracked_password/actual_password = 否`，即**没有拿到明文密码**。
- **文件信息**：路径位于 `/www/czb-wallet-common/.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_89BTC.../wallet_89.dat`，大小 `352,256` 字节。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出 345 笔，最后转出 `2017-11-07`；
- 转入 367 笔，最后转入 `2026-05-22`；
- 近30天转入/转出均为 0；
- 交易跨度 4553 天（约 12.5 年）。
- **时间线**：录入 `2026-06-23`，数据标注同日，最后更新 `2026-08-10`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入取证范围的。当时我们拿到的是一个老式 Bitcoin Core 钱包文件，后缀 `.dat`，版本标注为 `legacy_bdb`——这意味着它的密钥存储结构属于早期客户端，而非后来的 HD 钱包。文件本身只有 352KB，属于典型的小型钱包文件，但里面记录的余额却高达 320 余枚 BTC，因此业务上明确标注“不放弃”。

我们首先对文件做了静态信息提取，确认了主地址 `1GUWtu...`，并同步了链上交易摘要。链上数据显示，这个地址在 2017 年 11 月之前有大量转出行为（345 笔），而转入则一直持续到 2026 年 5 月，最近一个月完全静默。这让我们推测：**该钱包可能是一个长期使用但近期不再操作的老地址**。

在密码验证环节，我们尝试了常规的合规流程（如常见弱口令、与文件名/路径相关的组合等），但**所有尝试均未命中**。截至数据更新日（2026-08-10），`cracked_password` 字段仍为“否”。我们没有获得任何可用的明文密码或助记词。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 345 笔，最后一笔发生在 **2017-11-07**。说明该地址在 2017 年底之后基本停止了主动支付行为。
- **转入（receive）**：共 367 笔，最后一笔发生在 **2026-05-22**。说明在停止转出后，该地址仍持续收到资金，直至近期才停止。
- **近30天**：转入 0 笔、转出 0 笔，当前处于完全静默状态。
- **净流向推断**：转入笔数（367）略多于转出笔数（345），但**具体每笔金额未同步**，因此无法判断净流入/流出量，只能确认“笔数”层面的活跃度。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值) = 否`，即 **320.9 BTC 不属于小额放弃范畴**，必须继续跟进。
- **密码状态**：`cracked_password/actual_password = 否`，即 **尚未获得明文密码**。所有关于“已破解”的说法均不属实。
- **重要区分**：余额不为零 ≠ 密码已拿到。当前卡点在于**无法解锁钱包文件**，而非资产本身为空。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件创建时间**（文件系统元数据），用于缩小密码设置时间窗口。
2. **调取 2017 年 11 月前后的转出交易备注/关联地址**，可能包含钱包主人留下的线索。
3. **检查同一目录下其他 `wallet_*.dat` 文件**，看是否存在同名或同路径的备份（如 `wallet_89.dat.bak`）。
4. **收集 2026 年 5 月最后一笔转入的关联交易对手信息**，可能指向钱包实际控制人。
5. **核对钱包文件内是否包含 `mkey` 加密密钥的迭代次数**（仅作为格式信息，不涉及破解细节）。
6. **寻找该钱包在论坛/交易平台留下的公开地址标签**（如 Bitcointalk 签名、交易所充值地址）。
7. **确认该地址是否曾参与 2017 年 BTC/BCH 分叉**，若有分叉币钱包，可能复用相同密码。
8. **向业务方申请调取该钱包录入时的来源说明**（如“MEGA-BONUS”批次背景）。

### 7. 已尝试方向回顾（避免重复投入）
- **常规弱口令与文件名组合**：已测试与 `wallet_89`、`MEGA-BONUS`、`89BTC` 相关的常见组合，未命中。
- **路径关键词测试**：基于文件路径中出现的单词（如 `review`、`fake`、`czb`）构造的密码，已覆盖。
- **格式识别**：已确认是 `legacy_bdb` 格式，排除了 HD 钱包助记词恢复路径。
- **链上活跃度分析**：已确认近30天无交易，排除“钱包正在被他人使用”的可能。
- **未尝试**：未进行任何暴力枚举或字典攻击（合规限制），也未尝试读取内存中的密钥（无权限）。