BTC 钱包风险检测与恢复评估 #996

### 1. 一句话结论
这是一枚创建于2013年、至今仍持有约13.47 BTC的比特币Legacy格式钱包（ID 996），目前**尚未获得明文密码**，但链上数据显示其资产在2025年初有过一次转入，余额并非业务标注的“清零”状态，值得继续围绕“历史备份文件与旧设备”方向做合规取证。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件名为 `wallet_13,47.dat`，格式为 `bitcoin_legacy_bdb`，大小 81920 字节，路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_13,47_wallet_13,47.dat-36fdc25c5d44/`。
- **资产状态**：当前余额 **13.47101189 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即余额并不小。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入于 2026-06-23 00:37:48，最近更新于 2026-08-06 07:51:01，数据标注日期为 2026-06-23 00:57:23。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：1 笔，最后转出时间 **2013-11-29 14:42:56**。
- 转入（receive）笔数：18 笔，最后转入时间 **2025-01-27 13:13:01**。
- 近30天转出/转入笔数均为 0。
- 交易时间跨度：4210 天（约11.5年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日凌晨被录入系统，当时我们拿到的是一个名为 `MEGA-BONUS_wallet_13,47` 的旧版Bitcoin Core数据文件（BDB格式）。从文件命名和路径看，它像是某个历史活动（MEGA-BONUS）遗留的备份。

我们首先核对了钱包的“身份”字段：主地址 `13JFjMDYsxBoDkEAXThnR6Au4MxhsxkLKs` 与文件名中的 `13,47` 存在对应关系，确认这是同一钱包的多个表达形式。随后我们检查了链上同步数据，发现该地址自2013年起有18笔转入，但只有1笔转出，且转出发生在2013年11月——也就是说，这个钱包在早期有过一次支出动作，之后长达11年多没有再动过钱，直到2025年1月又收到一笔转入。

在尝试恢复访问的过程中，我们始终把“是否已拿到明文密码”作为关键判定点。目前系统内 `cracked_password` 字段为“否”，说明我们**尚未验证成功**。我们也没有发现任何“余额为0”的业务标注，因此不能以“钱包已清空”为由结案。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **18 笔**，最后一笔发生在 **2025-01-27 13:13:01**。这说明该地址在2025年初仍有外部资金进入，并非完全沉寂。
- **转出（send）**：共 **1 笔**，发生在 **2013-11-29 14:42:56**。这是该地址唯一一次已知的支出行为，时间点远早于最近一笔转入。
- **近期活跃度**：近30天转入与转出均为 0，说明当前处于静默状态。
- **未知项**：我们**没有**关于这18笔转入的具体金额、对手地址或交易哈希的明细数据；也**没有**关于那1笔转出是否清空当时余额的记录。若需进一步判断资金流向，需补充 `wallet_transactions` 的完整字段（如 `amount`, `txid`, `counterparty`）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小/清零”**：当前标注为 **否**，即系统并不认为这枚钱包余额可忽略。余额 13.47 BTC 在业务上属于“有继续跟进价值”的状态。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 未给出肯定值，因此我们**没有**任何已恢复密码的证据。所有关于“密码已破”的说法均不成立。
- **结论**：钱包文件完好、余额真实存在，但访问凭据（密码/助记词/私钥）仍未获得，处于“待恢复”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找历史备份文件**：优先排查2013年前后的旧电脑、移动硬盘、云盘备份，寻找同名或相似命名的 `wallet.dat` 副本（尤其是 `MEGA-BONUS` 活动相关的压缩包）。
2. **补充链上交易明细**：调取该地址的完整交易列表（txid、金额、时间、对手地址），确认2013年那笔转出是否为空转，以及2025年转入的来源。
3. **核对钱包创建时间**：通过BDB文件内部元数据（如 `mtime`、文件头信息）推算首次生成时间，与2013年首笔交易比对。
4. **排查旧邮件/记事本**：搜索2013-2014年间与该钱包名或地址相关的密码提示、恢复短语片段（注意脱敏处理）。
5. **检查同批次钱包文件**：该路径下存在 `MEGA-BONUS_wallet_13,47` 命名，建议查看同目录是否有 `wallet_13,46`、`wallet_13,48` 等相邻编号，可能共用密码规则。
6. **调取录入时的来源备注**：查看2026-06-23录入时是否附带“来源URL”“提交人备注”等元数据，可能指向原始获取渠道。
7. **验证地址归属**：通过区块链浏览器确认主地址是否曾出现在公开的“大额转账”或“捐赠”列表中，辅助判断持有人身份线索。
8. **补充“已知密码”判定材料**：若后续有测试命中，需提供明确的 `actual_password` 字段或可复现的验证记录，否则维持“未破解”状态。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件检查**：已确认文件格式为 `bitcoin_legacy_bdb`，大小正常，未发现截断或损坏迹象。
- **链上同步核对**：已完成地址余额与交易笔数的链上同步，确认余额非零且存在2025年转入。
- **密码状态判定**：已明确 `cracked_password` 为否，后续不应再假设“密码已知”而跳过验证流程。
- **业务标注复核**：已确认该钱包不属于“余额≤阈值”的忽略名单，不应以“余额太小”为由终止。
- **未尝试方向**：尚未进行历史备份文件的广域搜索，也未调取交易明细的完整字段——这两块是当前最大缺口，应优先投入。