BTC 钱包风险检测与恢复评估 #998

### 1. 一句话结论

这是一个持有约 **20 枚 BTC** 的 Legacy 格式钱包（`wallet_20,003.dat`），目前**尚未获得明文密码**，但链上数据显示其在 2024 至 2025 年间仍有转入/转出活动，最近半年已完全静默，下一步应优先从“历史交易对手方”和“文件元数据”两个方向补充线索。

---

### 2. 我们掌握的事实（证据链）

- **钱包标识**：钱包 ID `998`，主地址 `12TTBJPnXRj2KuqVuu66rdXGVUs1QrGbub`，币种 BTC。
- **余额与业务标注**：当前余额 `20.00320901 BTC`；业务标注“余额很小（≤阈值）”为**否**，即该钱包不属于小额弃用钱包。
- **文件信息**：格式 `bitcoin_legacy_bdb`，文件名 `wallet_20,003.dat`，大小 `110,592 字节`，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_wallet_20,003BTC_...`。
- **时间线**：录入 `2026-06-23`，最近更新 `2026-08-06`；链上交易跨度 **4118 天**（约 11.3 年）。
- **交易统计（依据 `wallet_transactions.direction`）**：
- 转出（send）43 笔，最后发生在 `2024-07-31`；
- 转入（receive）36 笔，最后发生在 `2025-01-31`；
- 近 30 天转入/转出均为 **0 笔**。
- **密码状态**：字段 `cracked_password / actual_password` 为**否**，即目前**没有**任何已确认的明文密码或助记词证据。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

我们最初在 `2026-06-23` 接触到这个名为 `MEGA-BONUS` 的 Legacy 钱包文件。从文件命名和路径看，它像是某个活动或批量生成场景下的遗留物，但余额并不小，因此没有被业务方标记为“可弃置”。

我们首先核对了链上数据：这个地址从约 11 年前就开始有交易，累计转入 36 笔、转出 43 笔，说明它并非一个“只进不出”的沉睡地址，而是一个被实际使用过的钱包。最近一笔转入发生在 `2025-01-31`，之后彻底安静下来。

接着我们检查了钱包文件本身——它是 `bitcoin_legacy_bdb` 格式，即早期 Bitcoin Core 使用的 Berkeley DB 存储结构。文件大小约 108 KB，属于中等规模，内部可能包含多个密钥或地址记录。我们尝试了常规的合规验证流程（如检查是否有内置的未加密备份、是否附带说明文档等），但**均未发现任何可直接读取的密码线索**。

目前我们停留在“已确认这是一枚有真实历史、有余额、但密码未知”的阶段。所有关于“能否解开”的结论，都必须等到密码字段被明确置为“是”之后才能下。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **36 笔**，最后一笔发生在 `2025-01-31 07:55:13`。说明该地址在 2025 年初仍收到过资金，但此后未再进账。
- **转出（send）**：共 **43 笔**，最后一笔发生在 `2024-07-31 02:27:32`。说明最后一次主动动账是在 2024 年 7 月底，之后没有再支出。
- **近期活跃度**：近 30 天转入与转出均为 **0 笔**，钱包处于完全静默状态。
- **未知项**：我们**没有**同步到每笔交易的具体金额、对手地址或交易哈希（数据字段未提供），因此无法判断转入/转出是否与当前余额 `20.003 BTC` 形成闭环。若需进一步分析资金流向，需补充 `wallet_transactions` 的明细字段。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为**否**。即业务方**没有**因为余额过低而放弃此钱包，它仍被视为有保全价值的资产。
- **明文密码状态**：字段 `cracked_password / actual_password` 为**否**。这意味着我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。
- **重要区分**：即使余额不为 0，也不代表密码已拿到；反之，即使未来余额被转走，也不代表密码一定被破解。当前唯一的事实是：**密码未知，测试仍在进行中**。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充 `wallet_transactions` 明细**：包含每笔交易的 `txid`、对手地址、金额、时间戳，用于还原资金链路，判断最后转入方是否可能是钱包主人。
2. **检查文件路径中的上下文线索**：路径含 `MEGA-BONUS` 与 `review` 字样，建议调取该目录下是否有配套的说明文档、活动规则或批量生成记录。
3. **核对钱包文件内部元数据**：在不触碰密钥的前提下，检查 BDB 文件中是否存有非加密的备注字段（如钱包标签、创建时间戳）。
4. **查询主地址在链上的公开标签**：通过区块链浏览器或第三方标签库，看该地址是否关联过交易所、矿池或已知服务商。
5. **回溯最后转入时间（2025-01-31）前后的资金来源**：若该笔转入来自某个实名平台，可能通过平台记录反查持有人身份。
6. **检查同批次文件**：路径中 `wallet_20,003BTC` 暗示可能存在同批次的 `wallet_20,001`、`wallet_20,002` 等文件，对比它们是否共用密码规则（仅作线索比对，不涉及攻击）。
7. **调取录入时的来源备注**：钱包录入于 `2026-06-23`，建议查看录入工单或上传日志，确认该文件由谁、通过什么渠道提交。
8. **确认“最后转出”后的找零地址**：若 2024-07-31 的转出存在找零，找零地址可能仍在同一钱包控制下，可作为辅助验证地址。

---

### 7. 已尝试方向回顾（避免重复投入）

- **常规合规检查**：已确认钱包文件格式与路径信息，未发现附带明文密码或说明文档。
- **链上活跃度分析**：已确认交易时间跨度与最近动账时间，判断该钱包并非死钱包，但近期已静默。
- **业务标注核对**：已确认该钱包**不**属于“余额过小可放弃”的类别，排除了低优先级处理路径。
- **密码状态验证**：已核对 `cracked_password` 字段为否，确认当前没有任何可用的密码证据，**后续不应重复尝试已排除的无效猜测**，而应转向上述第 6 节中的外部线索补充。

---

> **安全提示**：本报告仅基于已脱敏的事实字段进行复盘，不包含任何密码内容或攻击步骤。任何关于“尝试破解”的描述均指合规的取证流程，且目前未取得明文密码。