BTC 钱包风险检测与恢复评估 #1212

### 1. 一句话结论
这是一个持有 **6 BTC** 的 Legacy 格式比特币钱包（`wallet_6-2.dat`），目前**尚未获得明文密码**，且**链上交易记录未同步**，因此转入/转出活动与最后动账时间均无法确认。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID `1212`，主地址 `1KrhieuXb1PouUwyfFrL31d3wrb4hQdw3d`（BTC 网络）。
- **余额状态**：当前显示余额 `6.00000000 BTC`，且业务标注为“余额很小（≤阈值）= 否”，即**不适用小额豁免规则**。
- **文件信息**：格式为 `bitcoin_legacy_bdb`（BDB 旧版钱包），文件名 `wallet_6-2.dat`，大小 `57344` 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_6BTC-2...` 数据集。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即**未拿到明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，说明当前数据库内**无任何转入/转出统计字段**。
- **时间线**：录入时间 `2026-06-23 00:41:19`，数据标注 `2026-06-23 00:57:32`，最近更新 `2026-08-06 11:23:30`（仅元数据更新，非交易更新）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为“MEGA-BONUS”的批量钱包数据集中定位到该文件。最初根据文件名 `wallet_6BTC-2` 与路径中的 `250_wallet` 前缀，判断这是一批按余额命名的 Legacy 钱包之一。录入时系统读取到主地址与 6 BTC 余额，但**未触发小额豁免标记**，因此进入常规取证流程。

随后我们检查了钱包文件本身：格式为 `bitcoin_legacy_bdb`，文件大小约 56 KB，符合旧版 Bitcoin Core 钱包特征。在尝试读取内部结构时，发现**密码保护状态未知**（强证据字段为否），意味着我们目前**没有可用的明文密码或验证成功的记录**。

同时，我们尝试在链上核对主地址的收支情况，但页面显示“未同步”，说明当前证据链中**缺少交易历史数据**。因此，我们无法判断这 6 BTC 是长期持有还是近期转入，也无法确认是否存在转出行为。目前推进的瓶颈在于：**密码未破 + 交易未同步**，两者互为独立缺口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 统计字段）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 统计字段）。
- **最后动账时间**：未知（未同步，无法读取区块时间）。
- **说明**：当前余额 6 BTC 仅代表钱包文件内记录的 UTXO 快照，**不能**据此推断最近有转入或转出发生。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即 6 BTC 余额**不适用**“小额放弃”策略，必须继续跟进。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 为“否”，表示**尚未验证成功**，也没有任何可用的明文密码记录。
- **结论**：当前状态是“有余额但锁着”，而非“余额为零可放弃”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认 6 BTC 的来源与最后动账时间。
2. **检查同批次钱包**：路径中 `250_wallet` 提示存在同批 250 个钱包，优先排查其中是否有已成功解锁的兄弟文件，可能复用相同口令策略。
3. **核对文件名语义**：`wallet_6BTC-2` 中的 `6BTC` 可能是余额标记，`-2` 可能是序号，需确认是否存在 `-1` 或 `-3` 文件，用于交叉验证。
4. **提取钱包元数据**：在不触碰密码的前提下，读取 BDB 文件内的 `mkey` 加密参数（仅用于确认加密算法与 KDF 类型，不用于还原密码）。
5. **查找历史备注**：检索数据集附带的 README、CSV 或日志，看是否有该钱包的创建日期、口令提示或归属人信息。
6. **检查地址关联性**：若同批钱包地址存在连续生成规律，可尝试推导地址派生路径（仅用于归组，不涉及破解）。
7. **补充“已知密码”线索**：若业务方曾提供过任何口令片段、字典或重置凭证，请补充到证据链中（当前强证据字段为否）。
8. **确认文件完整性**：核对 `wallet_6-2.dat` 的哈希与源数据集是否一致，排除文件损坏或截断导致读取异常。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认强证据字段为“否”，说明**未进行或未成功**任何口令验证，无需重复测试同一批猜测。
- **交易同步**：已尝试读取链上摘要，但结果为“未同步”，**不要**再次依赖本地缓存，应直接触发同步接口。
- **小额豁免判断**：已确认余额 6 BTC 不满足“≤阈值”条件，**不要**按零余额流程关闭工单。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，**不要**再花费时间猜测是否为 SegWit 或 HD 钱包，应聚焦 Legacy 解密路径。
- **路径与命名分析**：已提取文件名与目录结构，**不要**重复扫描同一路径，下一步应转向同批次其他文件或外部元数据。