BTC 钱包风险检测与恢复评估 #1165

### 1. 一句话结论
这是一枚余额为 **31.01004429 BTC** 的比特币 Legacy 格式钱包（钱包ID 1165），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此转入/转出活动暂时无法解读。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1165，币种 BTC，主地址 `1N6CWghN2tySBDsXKjmEHRs8sh8S3vDFSi`（Legacy P2PKH 格式）。
- **余额状态**：当前余额 **31.01004429 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即该余额在业务上**不被视为小额**。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：钱包文件名为 `wallet_31,01BTC / wallet_31,01.dat`，格式 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包），文件大小 **110,592 字节**。
- **时间线**：录入时间 2026-06-23 00:40:43，数据标注 2026-06-23 00:57:31，最近更新 2026-08-06 10:33:00。
- **链上数据**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获得更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，我们把这枚名为 `wallet_31,01.dat` 的钱包文件纳入了取证清单。从文件格式看，它属于 Bitcoin Core 早期的 Berkeley DB 钱包（`bitcoin_legacy_bdb`），这类钱包的密钥结构相对传统，但并不意味着容易打开。

我们首先核对了钱包的静态信息：确认主地址、余额、文件大小，并检查了业务标注——这枚钱包余额 31 个 BTC，**不属于“小额”范畴**，因此被列为重点对象。随后我们尝试了常规的合规验证流程（如检查是否有配套的密码线索文件、是否在历史记录中有过密码提示等），但截至目前，**没有任何字段能证明密码已被还原**。

7 月到 8 月期间，我们多次回到该钱包做状态刷新，但链上交易始终显示“未同步”。这意味着我们目前只能看到钱包文件本身的“快照”，看不到它历史上的资金流动轨迹。整个推进过程，我们始终停留在“资料齐全、但密码未破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **说明**：当前仅能确认钱包地址与余额，但**无法判断这些 BTC 是何时、以何种方式进入的，也无法判断是否有过转出**。需要先在页面完成“同步交易”后，才能基于 `direction` 字段给出明确结论。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **31.01004429 BTC**，业务标注“余额很小（≤阈值）”为 **否**。即业务上**不认为这是小额钱包**，因此不存在“因余额为0而放弃”的情况。
- **明文密码状态**：字段 `cracked_password / actual_password = 否`，即**尚未拿到明文密码**。所有关于“已破解”的说法均不成立，目前仍处于“未验证成功”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是当前最大的数据缺口。
2. **查找钱包文件同目录的附属文件**：如 `wallet.dat` 同目录下的日志、备份或 `.conf` 配置文件，可能包含密码提示或地址归属信息。
3. **检索历史录入备注**：查看录入时是否附带任何来源说明、持有人线索或业务备注字段。
4. **比对同一批次钱包**：该文件路径显示来自 `MEGA-BONUS_BITCOIN CORE WALLETS - 250_wallet...`，建议核对同批次其他钱包是否已有成功案例，可能存在共性规律。
5. **检查文件修改时间**：文件时间戳（录入/更新）与链上活跃时间交叉比对，推测钱包最后被使用的时间窗口。
6. **确认钱包版本兼容性**：核实该 BDB 钱包是否曾被旧版 Bitcoin Core 打开过，以缩小密码设置年代范围（仅作背景推断，不涉及攻击细节）。
7. **寻找地址关联线索**：用主地址 `1N6CWghN2tySBDsXKjmEHRs8sh8S3vDFSi` 在公开渠道（如区块链浏览器）查询是否有备注标签或历史关联交易。
8. **补充持有人身份线索**：任何关于钱包来源、归属人或使用场景的材料（如邮件、工单、聊天记录），都可能成为密码找回的合规依据。

### 7. 已尝试方向回顾（避免重复投入）
- **静态信息核对**：已完成钱包ID、地址、余额、文件格式、大小、时间戳的确认，无遗漏。
- **业务标注检查**：已确认该钱包不属于“小额忽略”范畴，不能以余额为由降低优先级。
- **密码状态复核**：已反复确认 `cracked_password / actual_password` 为否，**没有误报“已破解”**。
- **链上同步检查**：已尝试查看交易摘要，但页面显示“未同步”，说明当前环境尚未拉取链上数据——**不要重复刷新页面期待自动同步**，应主动触发同步操作。
- **文件路径梳理**：已记录完整路径，确认该文件属于批量钱包集（250个），后续可横向对比同批次文件，但**无需重复解析同一文件的基础信息**。