BTC 钱包风险检测与恢复评估 #1151

### 1. 一句话结论
该钱包（ID: 1151）是一个BTC旧版格式钱包，当前余额为51.99953635 BTC，但**尚未获得明文密码**，且链上活动极少（仅各1笔转入/转出），目前处于“有余额、待解锁”的停滞状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1151，名称 `wallet_51,99BTC`，格式 `bitcoin_legacy_bdb`，文件大小 147,456 字节。
- **余额与标注**：余额 51.99953635 BTC；业务标注“余额很小(≤阈值)”为**否**，即该余额被认定为有效资产，非零值业务标记。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何明文密码或验证成功的证据。
- **地址**：主地址 `1Jh8cLNf6APCWAUCmsqezgRSYKCzxpuBzg`（BTC Legacy 格式，以“1”开头）。
- **时间线**：录入时间 2026-06-23 00:40:33，数据标注日期 2026-06-23 00:57:30，最近更新 2026-08-06 10:20:31。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转出（send）：1 笔，最后时间 2015-03-14 01:18:34。
- 转入（receive）：1 笔，最后时间 2015-03-14 01:16:15。
- 近30天转出/转入均为 0 笔；交易时间跨度 0 天（即两笔交易发生在同一天）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日凌晨接收到这个钱包文件，它来自一个名为“MEGA-BONUS”的批量数据集目录。文件本身是 Bitcoin Core 旧版（Legacy/BDB）格式，大小约 144 KB，命名直接体现了“51.99 BTC”的预期余额。

第一步，我们核对了钱包主地址与链上数据，确认该地址在 2015 年 3 月 14 日当天有过一次转入和一次转出，之后便再无任何链上动静。这说明该钱包在 2015 年之后基本处于“休眠”状态。

第二步，我们检查了业务系统对该钱包的标注。系统明确显示“余额很小”为否，意味着这 51.99 BTC 被视作有效资产，不是灰尘或测试币。这提升了该钱包的处置优先级。

第三步，我们尝试对钱包文件进行解锁验证。但根据事实字段，**目前没有拿到任何明文密码**，也没有任何“验证成功”的记录。所有关于“密码已破解”的说法均不成立。

目前，该钱包停留在“已识别、有余额、未解锁”的阶段，等待更多线索或材料补充。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，最后发生在 2015-03-14 01:16:15。该笔转入是余额的主要来源（具体金额未在本次数据中提供）。
- **转出（send）**：共 1 笔，最后发生在 2015-03-14 01:18:34。该笔转出发生在转入后约 2 分钟，可能为测试转账或找零操作（具体金额与去向未提供）。
- **近期活动**：近 30 天转入/转出均为 0 笔，确认钱包长期休眠。
- **未知项**：两笔交易的具体金额、手续费、对方地址均未在本次数据中同步，无法进一步判断资金流向细节。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：系统标注“余额很小(≤阈值)”为**否**，即该钱包余额 51.99 BTC 被认定为**有效且非零**，不属于“余额为0”或“灰尘钱包”的范畴。
- **明文密码状态**：字段 `cracked_password/actual_password` 明确为**否**。因此，**尚未获得明文密码**，也未验证任何候选密码。所有关于“已破解”的说法均无事实依据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件来源信息**：该文件来自“MEGA-BONUS”数据集，需确认该批次的原始出处、创建时间及关联的账户备注。
2. **获取两笔链上交易的完整明细**：要求同步 2015-03-14 两笔交易的金额、手续费、对方地址，以判断转出是否为找零或清空操作。
3. **查找同批次钱包文件**：检查同一目录下其他 249 个钱包是否有关联密码规律（仅作关联分析，不涉及攻击）。
4. **核对钱包创建时间**：通过 BDB 文件内部元数据（如 `mkey` 加密时间戳）确认钱包首次生成时间，辅助判断密码设置习惯。
5. **寻找历史备份或笔记**：在业务系统或邮件归档中搜索 `wallet_51,99` 或主地址 `1Jh8...` 相关的密码提示、恢复短语记录。
6. **检查是否有旧版客户端遗留配置**：如 `bitcoin.conf` 中的 `walletpassphrase` 历史配置或调试日志（debug.log）中的解锁记录。
7. **确认“余额很小”阈值的业务定义**：向业务方核实该阈值的具体数值，以排除因阈值设置异常导致的误判。
8. **补充钱包所有者的身份线索**：若该钱包来自历史活动或客户名单，需获取关联的实名信息或工单记录，以便走合规找回流程。

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动分析**：已确认交易时间跨度仅 1 天（2015-03-14），且近 30 天无活动，排除了“近期活跃”的可能性。
- **余额有效性核验**：已确认业务系统未将该钱包标记为“余额为0”或“小额灰尘”，排除了“空钱包误报”的可能。
- **密码状态核验**：已确认当前无任何明文密码或验证成功记录，后续不应再假设“密码已存在”，而应聚焦于线索补充。
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了 SegWit 或 Descriptor 钱包的干扰，后续无需在格式上重复排查。