BTC 钱包风险检测与恢复评估 #1841

### 1. 一句话结论
该BTC钱包（ID: 1841）当前链上余额为 **0.01289729 BTC**，历史交易以转入为主（48笔转入 vs 2笔转出），最近一次链上活动为2026年6月的转入；目前 **尚未获得明文密码**，破解验证仍在进行中。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1HQ3Go3ggs8pFnXuHVHRytPCq5fGG8Hbhx`，文件名为 `WALLET 1HQ3Go3ggs8pFnXuHVHRytPCq5fGG8Hbhx.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 557,056 字节。
- **余额状态**：链上余额 0.01289729 BTC；业务标注“余额很小”为 **否**（即余额未触发小额阈值标记）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转入 48 笔，最后转入时间 2026-06-07 18:28:41；
- 转出 2 笔，最后转出时间 2020-11-04 05:36:01；
- 近30天转入/转出均为 0 笔；
- 交易时间跨度 2086 天（约5.7年）。
- **数据录入**：录入时间与数据标注日期均为 2026-06-23，更新时间 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日进入我们取证视野的，当时它被归入一批名为“MEGA-BONUS”的 BTC 钱包数据集。我们首先确认了它的格式是 `bitcoin_legacy_bdb`——这是早期 Bitcoin Core 客户端常用的 Berkeley DB 钱包格式，意味着它的密钥结构相对传统，但也意味着文件本身可能带有旧版加密头。

我们核对了链上数据：这个地址从 2020 年 11 月最后一次转出后，就再也没有动过“支出”操作，但转入一直在持续，直到 2026 年 6 月 7 日还有一笔入账。这种“只进不出”的形态，加上余额不为零，让我们判断它不像是一个被弃用的空壳钱包。

在尝试访问钱包文件时，我们遇到了加密验证的瓶颈。目前系统记录显示，**尚未有已知密码被确认**，也就是说我们还没有跨过“读取私钥”的那道门。我们目前能做的，是基于公开的链上交易和文件元数据做外围分析，而无法进入钱包内部导出密钥。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 48 笔，最后一笔发生在 2026-06-07。说明该地址在较长周期内持续接收资金，但近30天无新转入。
- **转出（send）**：共 2 笔，最后一笔发生在 2020-11-04。说明该地址在 2020 年底之后基本处于“只收不付”状态。
- **近30天活动**：转入 0 笔，转出 0 笔——近期无任何链上动作。
- **未同步/未知**：关于每笔交易的具体金额、对手方地址、交易哈希等明细，当前数据摘要中未提供，暂记为“未同步”。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：本钱包 **不适用**“余额为0”的标注。业务字段显示“余额很小(≤阈值)”为 **否**，即当前余额 0.01289729 BTC 并未被系统判定为“小额/可忽略”。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们 **尚未获得明文密码**，也未验证成功。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **交易明细数据**：补充该地址 48 笔转入与 2 笔转出的完整列表（含金额、时间、对手地址、交易哈希），用于判断资金来源与用途。
2. **钱包文件创建时间**：从 `.dat` 文件元数据中提取创建/修改时间，辅助判断钱包生成周期。
3. **同批次钱包关联性**：该文件来自“MEGA-BONUS_35 WALLETS BITCOIN”批次，建议对比同批次其他钱包的密码规律或结构特征（仅作关联分析，不涉及攻击）。
4. **地址标签/来源备注**：是否有业务系统内对该地址的备注、导入来源或历史工单记录。
5. **链上UTXO明细**：获取该地址当前未花费输出的具体数量与锁定时间，确认余额是否可动。
6. **历史转出对手方**：重点分析 2020-11-04 那笔转出的去向，可能揭示钱包实际控制人线索。
7. **钱包加密方式确认**：确认该 BDB 文件是否启用了旧版加密（如 `encrypted` 标志），以判断后续验证路径。
8. **用户/案件关联信息**：是否有报案记录、交易平台提现记录或客服工单能关联到该地址。

---

### 7. 已尝试方向回顾（避免重复投入）
- **链上交易分析**：已完成方向统计（转入/转出笔数与时间），但未深入单笔交易对手分析——下一步应补明细，而非重复统计。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对格式做重复探测。
- **密码验证状态**：目前仍处于“未拿到明文密码”阶段，说明此前尝试的验证路径尚未成功；建议转向补充线索（如批次关联、来源备注），而非继续盲目测试。
- **余额判定**：已确认余额非零且未被标记为小额，无需再纠结“是否值得处理”的问题，应直接进入线索补充阶段。