BTC 钱包风险检测与恢复评估 #1387

### 1. 一句话结论
这是一个BTC旧版钱包（Legacy/BDB格式），目前持有约0.3669 BTC，链上活动以历史转入为主（26笔转入、1笔转出），近30天无动静；**尚未获得明文密码**，且业务标注“余额很小”为否，说明该钱包余额在阈值之上，仍有继续推进的价值。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1387，主地址 `1PEsdxLFGbdk7doK3TUiqZTMsbbYpQdn1m`，币种BTC。
- **格式与版本**：`bitcoin_legacy_bdb`，文件名为 `wallet_0,366.dat`，大小401,408字节，路径指向 `MEGA-BONUS_wallet_0,366` 数据集。
- **余额**：0.36693514 BTC（业务标注“余额很小”=否，即未达低价值阈值）。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：2026-06-23录入，2026-08-05最后更新，数据标注日期为2026-06-23。
- **链上摘要**：转出1笔（最后于2014-11-19），转入26笔（最后于2025-03-06），交易跨度3871天；近30天转入/转出均为0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在2026年6月23日被纳入取证视野的。当时我们拿到的是一个旧版Bitcoin Core格式的 `.dat` 文件，文件命名里带有“MEGA-BONUS”和“0,366”字样，初步判断它来自某个历史活动或促销场景。文件大小约400KB，属于典型的BDB钱包数据库。

我们首先做了静态识别：确认它是 `bitcoin_legacy_bdb` 格式，这意味着它的密钥存储结构是旧式的，和现代HD钱包不同。随后我们比对了链上数据，发现这个地址从2014年开始就有转入记录，最近一笔转入发生在2025年3月，说明它并非“死钱包”，而是有长期、低频的使用痕迹。

在尝试访问钱包内容时，我们遇到了口令保护。截至目前，所有验证尝试均未返回“已知密码存在”的强证据，因此我们**没有拿到明文密码**。我们也没有对余额做“归零”处理——业务标注明确显示它不属于“余额很小”的类别，所以这个钱包没有被判定为低优先级。

简单说：我们确认了“这是一个有历史、有余额、有保护”的旧钱包，但卡在口令验证这一步，尚未突破。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共26笔，最后一笔发生在2025-03-06 15:41:50。近30天转入笔数为0。
- **转出（send）**：共1笔，发生在2014-11-19 05:12:04。近30天转出笔数为0。
- **解读**：该地址在2014年有一次转出后，长期处于“只进不出”的状态，直到2025年3月还有转入。整体呈现“沉淀型”地址特征，但**我们无法从现有字段判断这些转入是来自同一个对手方还是多个来源**——这需要补充交易对手明细。
- **未知项**：当前数据未提供每笔交易的金额、对手地址、手续费等明细，因此无法做更细的流向分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值)` = **否**。即业务上不认为这个钱包价值低，值得继续投入资源。
- **密码状态**：`已知密码存在` = **否**。即**尚未获得明文密码**，所有关于“已破解”的说法均不成立。
- **重要区分**：余额不为0不代表能打开；业务标注“值得做”也不代表密码已拿到。目前我们仍处于“有目标、无钥匙”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的创建时间或首次使用时间**（可从 `.dat` 文件内部元数据或地址首次出现区块反推），用于缩小口令猜测的时间范围。
2. **补充链上交易明细**（对手地址、金额、时间），判断26笔转入是否来自同一来源，可能指向钱包主人的身份或用途。
3. **查找文件名中“MEGA-BONUS”对应的历史活动资料**，该关键词可能是某个空投、活动或促销的标识，口令可能与活动口令相关。
4. **检查同一数据集目录下是否有其他钱包文件**，可能存在同批次创建、口令规律相似的钱包。
5. **收集该地址在2014年前后的网络公开关联信息**（如论坛、水龙头、交易所提现记录），用于构建口令候选池。
6. **确认该钱包是否使用旧版Bitcoin Core的默认加密方式**（如仅口令保护、无二次验证），以评估后续验证路径的复杂度。
7. **调取2025年3月最后一笔转入的关联交易上下文**，看是否有备注、标签或对手方线索。
8. **补充钱包文件本身的哈希值与来源链**（从哪个设备/备份中提取），确认是否有其他副本或历史版本。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断格式。
- **链上活动梳理**：已统计转入/转出笔数与时间跨度，结论明确（长期沉淀型）。
- **口令验证**：已进行过一轮验证尝试，结果未命中（`cracked_password=否`）。**不建议在无新线索的情况下重复跑同一批候选口令**。
- **价值评估**：已确认余额高于低价值阈值，不需要再讨论“是否值得做”。
- **未尝试但需注意**：尚未做交易对手方分析、文件内部元数据提取、外部关键词关联（如MEGA-BONUS）——这些是下一步的增量方向，而非重复劳动。