BTC 钱包风险检测与恢复评估 #1243

### 1. 一句话结论
该BTC钱包（ID:1243）当前链上余额为100.42 BTC，但**尚未获得明文密码**，且业务标注显示“余额很小”为否（即余额并不小），目前处于“有币但无法解锁”的状态，取证工作仍在推进中。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1HYSg9sy6tbXYav36cv8qRavmAJaZsG7ps`，版本为 `bitcoin_legacy_bdb`，文件名为 `wallet_100.dat`，大小 118,784 字节。
- **余额状态**：链上余额 100.42003740 BTC，业务标注“余额很小(≤阈值)”为**否**，即余额显著，非零散小额。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何强证据表明已拿到明文密码。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）14笔，最后转出时间 2013-04-10。
- 转入（receive）23笔，最后转入时间 2025-11-22。
- 近30天转出/转入笔数均为0。
- 交易时间跨度 5153 天（约14年）。
- **数据时间线**：录入 2026-06-23，更新 2026-08-08，数据标注日期 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在2026年6月23日被录入系统的，当时它被标记为一个“MEGA-BONUS”系列中的 `wallet_100BTC` 文件，路径显示它来自一个批量导入的比特币核心钱包数据集。我们首先确认了它的格式是 `bitcoin_legacy_bdb`，也就是老版Bitcoin Core使用的Berkeley DB格式，这决定了后续读取和校验的方式。

接着，我们核对了链上数据：余额确实有100多枚BTC，且最近一笔转入发生在2025年11月，说明这个地址在近期仍被使用过，并非“沉睡死钱包”。但与此同时，最后转出停留在2013年，中间有长达12年的“只进不出”阶段，这提示我们：钱包主人可能早已丢失密码，或者该地址被用作长期存储。

我们尝试了常规的合规解锁流程（如校验文件完整性、核对已知口令库），但截至目前，**没有任何一条强证据表明密码已被还原**。系统里 `cracked_password` 字段仍为“否”，意味着我们手里只有“币在，但门还没打开”的状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共23笔，最后一笔发生在2025-11-22。说明该地址在2025年底仍有入账行为，资金来源和对手方暂未同步。
- **转出（send）**：共14笔，最后一笔发生在2013-04-10。此后至今**再无转出记录**。
- **近期动态**：近30天转入/转出均为0，即当前处于静默期。
- **未知项**：每笔交易的具体金额、对手地址、手续费等明细字段未在本次数据中提供，暂无法判断大额进出结构。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值)` 为**否**，即系统明确认为该钱包余额**不小**，不属于“空钱包/低价值”类别，值得继续投入资源。
- **明文密码状态**：`cracked_password/actual_password` 为**否**，即**尚未拿到明文密码**。所有关于“已破解”的说法均不成立，目前仍处于“有币但未解锁”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的完整交易明细**（每笔金额、时间、对手地址），用于判断100 BTC是否为多笔累积，还是单笔大额。
2. **查找同批次导入的其他钱包文件**（如 `wallet_100BTC` 系列），看是否存在共用口令或相同创建时间戳。
3. **补充钱包创建时间或首次交易时间**，用于推测密码设置习惯（如纪念日、早期常用口令模式）。
4. **提供任何与钱包主人相关的线索**（如邮箱、用户名、历史备注），用于合规找回流程。
5. **检查该地址在2013年转出前的历史行为**，看是否存在“测试小额转出”后遗忘密码的痕迹。
6. **核对2025年11月最后一笔转入的来源**，可能是钱包主人本人操作，也可能是他人误转，需链上关联分析。
7. **确认该钱包文件是否包含“备注”或“标签”字段**（BDB格式中可能存有自定义文本）。
8. **评估是否需要走“时间成本换空间”的合规恢复方案**（如通过已知部分口令片段做离线校验，但需用户授权）。

### 7. 已尝试方向回顾（避免重复投入）
- **常规口令库比对**：已对常见弱口令、日期组合、钱包名衍生口令（如 `wallet_100BTC` 相关变体）做过一轮校验，未命中。
- **文件完整性校验**：确认 `wallet_100.dat` 文件未损坏，BDB结构可正常读取，排除“文件截断导致无法解析”的问题。
- **链上活跃度分析**：已确认地址非空、非零余额，且近期有转入，排除了“钱包已废弃”的假设。
- **未尝试方向**：未进行任何暴力破解或字典攻击（合规限制），也未尝试对私钥文件进行逆向工程。下一步应优先补充外部线索，而非重复已有校验。