BTC 钱包风险检测与恢复评估 #1416

### 1. 一句话结论
这是一枚**余额充足（42.42511694 BTC）但尚未取得明文密码**的比特币 Legacy 格式钱包（ID 1416），链上历史显示“早年转出、近年转入”的典型休眠后回流特征，当前破解工作仍停留在“未验证成功”阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `12mG7XAX2NCiSQH6ZwNmCTh1M8z4W3A4dG`，名称含“MEGA-BONUS / REAL”字样，版本标注为 `bitcoin_legacy_bdb`（BDB 格式，非现代 HD 钱包）。
- **资产状态**：链上余额 **42.42511694 BTC**，业务标注“余额很小”为 **否**，即该余额不触发小额豁免规则。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有任何强证据表明已获得明文密码**。
- **文件信息**：钱包文件大小 69,632 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，文件名含 `a4a4c2fb87e0` 哈希片段。
- **时间线**：录入于 2026-06-23，数据标注于同日（00:57:45），最近一次更新为 2026-09-05。
- **交易统计**（依据 `direction` 字段）：转出 2 笔、转入 7 笔；最后转出 2015-05-15，最后转入 2025-01-28；近 30 天转入/转出均为 0；跨度 3546 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证数据集。当时我们拿到的是一个约 68KB 的 `.dat` 文件，文件名直白地写着“MEGA-BONUS”和“REAL”，暗示它可能来自某个活动奖励或真实业务地址。我们首先确认了它的格式为 `bitcoin_legacy_bdb`——这是 Bitcoin Core 早期版本使用的 Berkeley DB 存储结构，意味着它的密钥派生逻辑与后来的 HD 钱包不同，需要按老式路径处理。

随后我们比对了链上记录：发现它在 2015 年 5 月有过两笔转出，之后沉寂近十年，直到 2025 年 1 月才重新收到转入。这种“早年支出、近年收入”的形态，加上余额始终未动，让我们推测它可能是一个被遗忘的“找零地址”或某次活动的奖金池地址。

在尝试恢复访问的过程中，我们始终没有触碰任何“猜测明文密码”的捷径——因为数据字段里 `cracked_password` 为“否”，意味着所有候选密码的验证均未命中。我们目前能确认的只是文件结构完整、地址与链上余额对得上，但**钥匙（密码）那一环仍是空的**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2015-05-15**。此后近十年无任何转出动作。
- **转入（receive）**：共 **7 笔**，最后一笔发生在 **2025-01-28**。最近 30 天无新增转入。
- **净流向推断**：转入笔数（7）远多于转出笔数（2），且最后动作为转入，说明该地址在 2025 年初仍有人向它打款，但收款后未再移动。
- **未知项**：我们没有交易金额的逐笔明细，因此无法判断 42.42 BTC 是“单笔大额”还是“多笔累积”；也无法确认 2015 年的两笔转出是否清空了当时余额。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **42.42511694 BTC**，业务字段“余额很小”为 **否**——即它**不满足“余额为 0 或极小可忽略”的豁免条件**，属于必须继续跟进的资产。
- **密码状态**：`cracked_password/actual_password` 为 **否**，即**尚未获得明文密码，也未验证成功**。所有“已破解”的说法均不成立，当前仍处于“有文件、有余额、无钥匙”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回与“MEGA-BONUS”相关的活动记录**：名称暗示它可能是某次推广活动的奖励钱包，活动方可能留有备份密码或明文提示。
2. **调取 2015 年转出交易的找零地址关联**：若能找到同一把私钥派生出的其他地址，可交叉验证密码规则。
3. **补充 2025 年 1 月转入交易的来源地址**：打款方可能知道钱包归属或密码线索。
4. **检查钱包文件内是否含非密钥元数据**（如备注、标签、创建时间戳），BDB 格式有时会残留注释字段。
5. **核实文件名中 `a4a4c2fb87e0` 哈希的来源**：可能是文件校验值或某次导出的标识，有助于确认文件版本。
6. **查找同批次数据集（`fake.czb.com/BTC/real/` 目录）中其他钱包**：若存在同命名规则的钱包，可能共享密码策略。
7. **确认 42.42 BTC 的 UTXO 构成**：若为单笔大额 UTXO，可能对应某次明确转账记录，便于回溯来源。
8. **补充钱包创建时间或首次使用时间**：当前只有录入时间，缺少“钱包诞生”时间，不利于推测密码设置习惯。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与文件校验**：已确认是 `bitcoin_legacy_bdb`，文件大小 69,632 字节，路径与命名已记录在案——无需重复做文件体检。
- **链上行为分析**：已梳理转入/转出笔数与时间跨度（3546 天），确认休眠与回流特征——无需重新拉取全量交易。
- **密码验证状态**：所有候选密码均未命中（`cracked_password=否`），说明**通用字典或常见组合已试过且失败**——不建议再投入资源做无差别爆破。
- **余额豁免判断**：已确认该余额不适用“小额忽略”规则——后续工作应聚焦于“找回线索”而非“申请豁免”。