BTC 钱包风险检测与恢复评估 #1009

### 1. 一句话结论

这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1009），目前链上余额极低（0.000013 BTC），**尚未获得明文密码**，且业务系统已将其标注为“余额很小”的低优先级钱包；从现有数据看，它更像一个历史遗留的“空壳”或“零钱”钱包，而非高价值目标。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包名称 `MEGA-BONUS / wallet_25.dat`，路径指向 `fake.czb.com/BTC/review/` 下的数据集，文件大小 65536 字节（64KB，符合早期 Bitcoin Core 钱包文件特征）。
- **格式**：`bitcoin_legacy_bdb`（旧版 Berkeley DB 格式），主地址 `12KcJ25csCAsaYjyVy4Wmga6gux8Eq7cEv`。
- **余额**：当前 BTC 余额为 **0.00001300 BTC**（约合极少量法币），业务字段 `余额很小(≤阈值)` 标记为“是”。
- **密码状态**：关键字段 `已知密码存在(强证据)` = **否**，即目前没有任何证据表明已获得明文密码或助记词。
- **交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）笔数：**0**
- 转入（receive）笔数：**2**
- 最后转入时间：2025-02-26 21:18:22
- 最后转出时间：**未知**
- 近30天转入/转出均为 0，交易时间跨度仅 26 天。
- **时间线**：录入时间 2026-06-23，数据标注日期 2026-06-23，最近更新时间 2026-08-06（说明数据入库后约一个半月内无新动态）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初进入我们视野，是因为它在 2026 年 6 月 23 日被录入系统，文件名带着“MEGA-BONUS”这样带有营销暗示的标签，让人一度以为里面可能存有活动奖励资金。我们按流程做了基础登记，记录了它的主地址、文件格式和路径。

随后我们调取了链上交易摘要，发现它只在 2025 年 2 月有过两笔转入，之后再无任何转出记录，也没有近 30 天的活跃痕迹。与此同时，系统在录入当天就自动打上了“余额很小”的业务标注——因为链上余额确实只有 0.000013 BTC，折合法币几乎可以忽略。

在密码验证环节，我们核对了“是否已有强证据表明拿到密码”这一字段，结论是“否”。也就是说，尽管我们掌握了钱包文件本身，但**并未完成任何密码验证或破解成功**。目前该钱包的定位是：低余额、无转出历史、无近期活跃，属于典型的“待观察”而非“待攻坚”对象。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2025-02-26 21:18:22**。交易时间跨度 26 天，说明这两笔转入集中在 2025 年 2 月内完成。
- **转出（send）**：**0 笔**。该地址从未有过任何转出记录。
- **近30天活动**：转入 0 笔，转出 0 笔，完全静默。
- **最后转出时间**：**未知**（因转出笔数为 0，不存在该时间点）。

**解读**：这是一个“只进不出”的地址，且转入量极少、时间集中。结合当前余额极低，推测这两笔转入可能是早期测试、小额充值或空投，之后钱包被弃用。**注意**：我们并未同步到每笔转入的具体金额，若需确认资金流向细节，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

这里必须澄清两个容易混淆的概念：

- **业务标注“余额很小”**：这是系统基于链上余额（0.000013 BTC）自动打上的标签，属于**业务优先级判断**，与密码是否破解无关。它只说明“这个钱包里没什么钱”，不代表“我们进不去”。
- **是否拿到明文密码**：字段 `已知密码存在(强证据)` = **否**。这意味着我们**尚未获得**该钱包的明文密码、助记词或私钥，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

简而言之：**钱包是“穷”，不是“破”**。我们手里有文件，但门还没打开。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充两笔转入交易的完整明细**（时间戳、金额、对手地址），确认资金来源是否为已知交易所或热钱包。
2. **核查钱包文件来源路径** `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/`，确认该文件是否来自某个批量导入的“review”数据集，可能关联其他同批钱包。
3. **检索同目录下是否有同名或相邻编号的 wallet_*.dat 文件**，判断是否存在“批量生成后仅部分充值”的模式。
4. **调取该地址在 2025-02-26 前后的链上上下文**，看是否有配套的找零地址或关联地址仍持有资金。
5. **确认钱包文件内部是否包含地址标签或备注**（如“MEGA-BONUS”对应的活动记录），可借助只读解析工具查看非密钥元数据。
6. **核对录入时间与数据标注时间**（均为 2026-06-23），确认是否存在人工录入延迟或数据迁移痕迹。
7. **查询该钱包是否在其他案件或历史工单中被提及**（如用户申诉、批量找回请求）。
8. **若业务上确需打开该钱包**，应优先走合规的“所有者找回”流程（如提供所有权证明），而非继续技术试探。

### 7. 已尝试方向回顾（避免重复投入）

- **基础信息登记与格式识别**：已完成，确认是 `bitcoin_legacy_bdb` 格式，文件大小正常（64KB），无截断或损坏迹象。
- **链上交易统计**：已完成，确认 2 笔转入、0 笔转出，无近期活跃。
- **密码状态核查**：已确认“无强证据表明已获得密码”，因此**不应再投入资源进行重复的密码猜测或字典尝试**——该方向既无成功先例，也违反安全规范。
- **余额优先级判断**：系统已自动标记“余额很小”，意味着从 ROI 角度不值得继续投入高成本技术手段。

**结论**：该钱包当前价值极低、无转出历史、密码未破，建议将其降级为“归档观察”状态，除非补充到第 6 节中的关键线索（如资金来源指向大额关联地址），否则无需继续推进。