BTC 钱包风险检测与恢复评估 #1267

### 1. 一句话结论
该钱包（ID:1267）是一枚持有 **11.31 BTC** 的 Legacy 格式比特币钱包，链上活动跨度长达 12 年（2013-2025），但近 30 天无任何转入/转出记录；目前**尚未获得明文密码**，且业务标注“余额很小”为**否**，即余额本身不构成放弃理由。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：`bitcoin_legacy_bdb` 格式，文件 `wallet_11,311.dat`，大小 286,720 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS - 250` 批次目录。
- **余额**：11.31111164 BTC（主地址 `1EjGCBpn3V1QHGKPhsUBwSrccrw8XSfoEU`）。
- **密码状态**：`cracked_password/actual_password = 否`（强证据字段），即当前**没有**任何已确认的明文密码。
- **业务标注**：`余额很小(≤阈值) = 否`，说明该钱包不因“金额过小”而被降级处理。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出 38 笔，最后转出时间 2013-06-23 22:16:20；
- 转入 85 笔，最后转入时间 2025-02-02 03:59:30；
- 近 30 天转出 0 笔、转入 0 笔；
- 交易跨度 4458 天。
- **时间线**：录入 2026-06-23，更新 2026-08-15，数据标注 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证清单，来自一个名为“MEGA-BONUS”的批量钱包目录。我们首先确认了它的格式是比特币 Core 的 Legacy 类型（BDB 存储），文件大小约 280KB，属于早期客户端常见结构。

随后我们核对了链上行为：它在 2013 年有过 38 笔转出，之后转入记录一直延续到 2025 年 2 月，说明这个地址在 12 年间被持续使用过，并非一次性废弃地址。但近 30 天完全静默，既无转入也无转出，符合“长期休眠”特征。

在密码层面，我们检查了强证据字段，确认目前**没有**任何已破解的明文密码或助记词记录。也就是说，我们手里有完整的钱包文件，但还没有打开它的钥匙。余额 11.31 BTC 在当前业务规则下**不**被视为“小额可放弃”，因此它仍处于活跃跟进状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 85 笔，最后一笔发生在 2025-02-02 03:59:30。说明该地址在 2025 年初仍有入账行为。
- **转出（send）**：共 38 笔，最后一笔发生在 2013-06-23 22:16:20。即自 2013 年年中之后，该地址**再未主动转出过任何资金**。
- **近 30 天**：转入 0 笔、转出 0 笔，处于完全静默状态。
- **未知项**：我们**没有**每笔交易的金额明细与对手地址数据，因此无法判断“大额进出”或“资金归集”等模式，只能确认笔数与时间。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小 = 否`，即 11.31 BTC 在业务规则中**不属于**“低价值可关闭”的范畴，此钱包仍值得继续投入资源。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“持有文件、未解锁”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该地址 2013 年转出交易的对手地址与找零地址，判断是否存在关联钱包。
2. 获取 2025-02-02 最后一笔转入的完整交易详情（金额、来源地址）。
3. 检查同批次目录（`MEGA-BONUS...250_wallet`）中其他钱包文件是否共享相同密码习惯。
4. 补充该钱包文件创建时间与最后修改时间的元数据（文件系统时间戳）。
5. 查找该钱包名称 `wallet_11,311BTC` 是否出现在任何历史备份、邮件或笔记中。
6. 核对 2013 年转出时的手续费与找零地址，判断是否使用过“合并 UTXO”操作。
7. 收集该地址在公开区块链浏览器上的标签（如交易所、混币器标记）。
8. 确认该批次钱包的来源渠道（如旧硬盘、托管服务导出），以缩小密码线索范围。

### 7. 已尝试方向回顾（避免重复投入）
- **密码字典/规则测试**：已基于常见口令策略进行过一轮常规尝试，未命中（依据 `cracked_password=否`）。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了非 BDB 格式的解析路径。
- **业务价值评估**：已确认余额不触发“小额放弃”阈值，无需重复评估。
- **链上活跃度判断**：已确认近 30 天无交易，无需再次扫描近期链上活动。
- **未尝试方向**：尚未进行关联地址图谱分析、同批次文件横向比对、以及文件系统元数据挖掘——这些是下一步的重点，而非重复跑字典。