BTC 钱包风险检测与恢复评估 #3

### 1. 一句话结论
该BTC钱包（主地址 `1P2kKdep...z1Yw`）当前余额为 **130 BTC**，属于高价值目标；但截至数据标注日（2026-06-23），**尚未获得明文密码**，且业务标注“余额很小”为 **否**，说明这不是一个低价值或已放弃的钱包，值得继续合规推进。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 3，币种 BTC，主地址 `1P2kKdepEAJQwVHoaodfQKD6jSJC86z1Yw`，文件名为 `..._btc_1P2kKdep...dat`。
- **格式与结构**：版本为 `bitcoin_legacy_bdb`（老式Bitcoin Core钱包格式），文件大小 90,112 字节，**包含主密钥（MKey）**，说明钱包结构完整，密钥材料存在。
- **余额与业务标注**：余额 130 BTC；业务标注“余额很小(≤阈值)”为 **否**，即系统判定该钱包余额显著，不属于低价值或已弃用。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有已知明文密码**。
- **交易统计（来自 `wallet_transactions.direction`）**：
- 转出（send）3 笔，最后转出时间 2026-03-13。
- 转入（receive）7 笔，最后转入时间 2025-11-19。
- 近30天转入/转出均为 0 笔，说明近期无活跃链上动作。
- 交易时间跨度 4833 天（约 13.2 年），属于长期持有的老钱包。
- **录入与更新时间**：录入 2026-05-17，更新 2026-08-06，数据标注日期 2026-06-23。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 5 月 17 日被录入系统的。当时它被归类为 `bitcoin_legacy_bdb` 格式，路径里带着 `MEGA-BONUS_57 файлов` 的批次标记，说明它来自一个批量导入的旧钱包文件集。

我们首先确认了它的“身份”：主地址唯一、文件完整、包含主密钥。这意味着**只要拿到密码，就能完整控制钱包**，而不是只有部分密钥。随后我们核对了链上交易摘要，发现它是一枚“老币”——从 2013 年前后就开始有交易记录，跨度超过 13 年，但近期（近30天）完全静默，符合“长期囤积、不轻易动”的特征。

在推进过程中，我们重点检查了业务标注：系统明确判定“余额很小”为 **否**，即这不是一个被业务方放弃的低价值钱包。因此我们把它列为高优先级目标，投入了取证资源。但截至目前，**密码验证环节仍未通过**——字段 `cracked_password` 为否，意味着我们还没有拿到可用的明文密码或助记词。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 7 笔，最后一笔发生在 **2025-11-19**。说明该地址历史上接收过多次资金，最近一次接收在约半年前。
- **转出（send）**：共 3 笔，最后一笔发生在 **2026-03-13**。说明该地址曾有过少量支出行为，但近期（近30天）无任何转出。
- **近期活跃度**：近30天转入/转出均为 0，钱包处于**静默持有**状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断这 130 BTC 是多次累积还是单笔大额转入。如需更细解读，需补充 `wallet_transactions` 的完整字段。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统判定余额 130 BTC 属于**高价值**，不是“余额为0/可放弃”的低价值钱包。因此不能以“余额小”为由降低优先级。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 为 **否**，即**尚未获得明文密码、助记词或私钥**。我们目前处于“有完整钱包文件+有主密钥，但缺密码”的阶段，任何关于“已破解”的说法均不属实。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件来源信息**：该文件来自 `MEGA-BONUS_57 файлов` 批次，需查清该批次的来源渠道（如旧硬盘、云备份、交易对手遗留），往往能关联到密码线索。
2. **获取完整交易明细**：申请导出 `wallet_transactions` 的完整字段（金额、对手地址、时间戳），用于判断资金流向与可能关联的身份信息。
3. **检查钱包文件元数据**：查看 `.dat` 文件内是否包含备注、标签、创建时间戳等附加信息（不涉及密码本身）。
4. **排查关联钱包**：同一批次（57个文件）中的其他钱包是否已被成功解锁？若有，可参考其密码规律（仅作线索，不构成攻击）。
5. **寻找历史备份或旧密码记录**：该钱包录入于 2026-05-17，但交易跨度 13 年，建议回溯 2013-2015 年间的旧备份介质或密码管理记录。
6. **核对业务方备注**：路径中含 `review` 与 `fake.czb.com`，需确认业务方是否对该钱包有过人工备注（如“客户遗留”“测试币”等）。
7. **链上行为画像**：结合最后转出时间 2026-03-13，查该笔转出的对手地址是否在其他案件中关联到已知身份。
8. **确认主密钥（MKey）的派生范围**：验证该主密钥是否仅覆盖此地址，还是可派生其他地址（影响后续取证范围）。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与完整性检查**：已确认是 `bitcoin_legacy_bdb` 老式格式，文件完整且含主密钥——此方向已完成，无需重复。
- **业务标注筛选**：已确认“余额很小=否”，排除了低价值误判——此判断已定，不必再纠结。
- **链上活跃度分析**：已确认近30天无交易、总跨度 4833 天——此统计已完成，后续如需细节需补数据而非重跑。
- **密码验证**：已尝试过一轮验证，结果为“未拿到明文密码”。**注意**：不要重复投入相同字典或规则，应优先从第 6 节的“来源线索”入手，寻找更贴近的密码线索（如批次来源、旧备份），而非盲目扩大测试范围。