BTC 钱包风险检测与恢复评估 #1174

### 1. 一句话结论
这是一枚创建于2012年、余额为1.21896195 BTC的比特币Legacy格式钱包（ID 1174），目前我们**尚未获得其明文密码**，且该钱包**不属于“余额为0”的业务标注**，链上活动极少（仅1转入、1转出），整体处于“待解锁”状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1174，币种BTC，主地址 `1N18vvhre4A3LGvwQsC9f1NUzJd6By5Lqy`，版本格式为 `bitcoin_legacy_bdb`。
- **余额与标注**：当前余额 **1.21896195 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额在业务上被视为有意义的资产。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即**尚未拿到明文密码**。
- **文件信息**：钱包文件名为 `wallet_1,217.dat`，大小 81920 字节，路径位于 `.../MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet_1,217BTC...` 目录下，暗示可能来自一个批量钱包集合。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-06，数据标注日期为 2026-06-23。
- **链上交易摘要**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）笔数：**1**；最后转出时间：2012-04-24 15:49:07。
- 转入（receive）笔数：**1**；最后转入时间：2012-04-23 04:13:02。
- 近30天转出/转入笔数均为 **0**；交易时间跨度仅 **1 天**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被录入系统，当时我们拿到的是一个名为 `wallet_1,217.dat` 的旧版Bitcoin Core数据文件。从文件路径看，它被归类在一个名为“MEGA-BONUS”的批量钱包目录中，这提示我们它可能来自某个历史活动或批量备份。

我们首先对文件本身做了静态检查，确认它是 `bitcoin_legacy_bdb` 格式，即早期Bitcoin Core使用的Berkeley DB钱包。文件大小约80KB，符合一个仅含少量地址和交易的轻量钱包特征。

随后我们同步了链上数据，发现这个钱包的链上活动高度集中：在2012年4月23日收到一笔转入，次日（4月24日）发生一笔转出，之后至今再无任何交易。这意味着钱包在2012年4月被创建并短暂使用后，便进入了“休眠”状态。

在密码验证方面，我们目前只确认了“尚未获得明文密码”这一事实。系统内没有记录任何 `cracked_password` 或 `actual_password` 的强证据，因此所有关于“已解锁”的说法都不成立。我们仍在等待或尝试合规的密码恢复途径，但尚未有突破性进展。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **1 笔**，发生在 **2012-04-23 04:13:02**。这是钱包的第一笔也是唯一一笔入账，构成了当前余额的主体来源。
- **转出（send）**：共 **1 笔**，发生在 **2012-04-24 15:49:07**。这是钱包唯一一笔支出，发生在转入后约1天半。
- **近期活动**：近30天转出与转入笔数均为 **0**，说明该钱包自2012年后没有任何链上动作。
- **未同步/未知项**：我们**没有**关于这两笔交易的具体金额、对手地址或找零去向的明细数据；若需还原完整资金流，需补充 `wallet_transactions` 的完整字段或原始交易哈希。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **1.21896195 BTC**，业务标注“余额很小(≤阈值)”为 **否**。这意味着在业务层面，这个余额**不被视为可忽略的零头**，而是需要重点处理的资产。
- **密码状态**：强证据字段显示 `cracked_password/actual_password` 为 **否**。因此，**我们尚未获得该钱包的明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均属猜测，不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充2012年两笔交易的完整明细**（金额、对手地址、交易哈希），用于判断转出后是否仍有未花费输出（UTXO）留在本钱包。
2. **获取钱包内地址列表及关联脚本类型**（P2PKH/P2SH等），确认余额是否确实归属于主地址。
3. **查找该钱包文件的来源批次信息**（如“MEGA-BONUS”活动背景、批量生成时间），可能关联到已知的密码规则或备份习惯。
4. **检查是否存在同名或同目录下的其他钱包文件**，可能包含相同密码或助记词线索。
5. **调取钱包文件创建时间与系统日志**，确认文件是否被修改过（如密码重置操作）。
6. **确认该钱包是否曾导入过私钥或使用过“脑钱包”**，这需要结合历史活动背景判断。
7. **补充钱包版本对应的Bitcoin Core客户端版本**，不同版本的加密算法（如是否使用旧版 `crypt` 方法）会影响恢复策略。
8. **查询该地址在2012年4月前后的公开论坛/水龙头记录**，可能找到创建者留下的提示信息。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件分析**：已确认文件格式为 `bitcoin_legacy_bdb`，大小与结构符合预期，未发现异常扩展。
- **链上同步**：已完成交易方向与时间统计，确认钱包活动集中在2012年4月23-24日，近30天无活动。
- **密码状态核查**：已确认系统内无任何“已拿到密码”的强证据，排除了“已破解”的误判。
- **业务标注复核**：已确认该钱包不属于“余额为0”的忽略名单，需继续跟进。
- **未尝试/需避免**：任何针对密码的暴力猜测或字典攻击细节均未执行，且不应在后续报告中作为“已尝试方向”列出——我们只做合规的取证与线索收集。