BTC 钱包风险检测与恢复评估 #1419

### 1. 一句话结论
这是一枚持有 **50.00005140 BTC** 的 Legacy 格式比特币钱包（ID 1419），链上记录显示其历史上共收到 4 笔转入、从未转出，但**目前尚未获得明文密码**，且该钱包**不属于“余额为0”的业务标注**，因此仍处于待解锁状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `13vq3LDCBpwbyxSenJDpHWt3xCXgbtzp9V`，文件名为 `WALLET50BTC-13vq3LDCBpwbyxSenJDpHWt3xCXgbtzp9V.dat`，格式为 `bitcoin_legacy_bdb`（即 Bitcoin Core 旧版 Berkeley DB 格式）。
- **余额与标注**：余额为 50.00005140 BTC；业务字段 `余额很小(≤阈值)` 为 **否**，说明该钱包在业务上被认定为“有价值、非小额”。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即没有已验证的明文密码。
- **文件信息**：大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下的 `MEGA-BONUS` 目录，命名含 `MEGA-BONUS / WALLET50BTC`，暗示业务方曾将其标记为“大额奖励”类资产。
- **录入与更新时间**：录入于 2026-06-23，最后更新于 2026-09-03，数据标注日期为 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证范围。当时我们拿到的是一个 57KB 的 `.dat` 文件，从文件头与格式判断，它属于 Bitcoin Core 旧版钱包（Legacy/BDB）。钱包名称里的 `MEGA-BONUS` 与 `WALLET50BTC` 字样，结合链上余额，初步判断这是一笔被业务方单独隔离保管的“50 BTC 奖励钱包”。

我们首先核对了链上交易摘要：该地址在 1952 天的时间跨度内，只有 4 笔转入、0 笔转出，最近一笔转入发生在 2026-05-22。这说明资金进入后从未移动，符合“冷储/遗留资产”的特征。

随后我们检查了业务标注：该钱包并未被标记为“余额很小”，因此不能以“业务上已放弃”为由结案。我们尝试对钱包文件进行标准格式解析，确认其结构完整、无损坏迹象。但在密码验证环节，由于强证据字段显示 `cracked_password=否`，我们**没有**任何已确认的明文口令，所有候选口令均未通过验证。

目前该钱包仍处于“已定位、已解析、未解锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **4 笔**，最后一笔发生在 **2026-05-22 14:54:01**。近 30 天转入笔数为 0。
- **转出（send）**：共 **0 笔**，即该地址从未对外支付过。近 30 天转出笔数为 0。
- **最后转出时间**：未知（因无转出记录）。
- **时间跨度**：从首笔交易到末笔交易跨越 1952 天，说明资金沉淀时间较长。
- **解读**：这是一个典型的“只进不出”地址，资金在 2026 年 5 月后彻底静止，无任何近期活跃迹象。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 50.00005140 BTC，业务字段 `余额很小` 为 **否**。因此它**不属于**“余额为0/小额放弃”类钱包，业务上仍视为有效资产。
- **明文密码**：强证据字段 `cracked_password/actual_password` 为 **否**。即：**尚未获得任何明文密码或助记词**，所有验证均未成功。我们不会声称“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **原始来源登记信息**：查找业务方最初录入该钱包时的备注、工单或邮件，确认 `MEGA-BONUS` 对应的活动名称与持有人。
2. **文件路径线索**：路径中 `fake.czb.com` 与 `real` 目录暗示该文件可能来自测试/生产混合环境，需确认该文件是否曾被复制或迁移过。
3. **同一目录其他钱包**：检查 `/real/` 下是否有同批次的 `.dat` 文件，可能共用同一套口令策略。
4. **链上交易对手方**：调取 4 笔转入交易的来源地址，追溯资金源头（如交易所、矿池、其他钱包），可能关联到创建者身份。
5. **钱包创建时间线索**：通过 BDB 文件内部时间戳或首笔交易时间，反推钱包生成的大致日期，缩小口令设置习惯范围。
6. **历史运维记录**：查询 2026-06-23 前后是否有运维人员接触过该文件（如备份、迁移、权限变更日志）。
7. **口令策略文档**：向业务方索取该批次钱包的生成规范（如是否使用统一前缀/后缀规则），但注意不要索取明文。
8. **双人复核机制**：确认是否存在另一份由不同人保管的备份或密码信封，走线下交接流程。

### 7. 已尝试方向回顾（避免重复投入）
- **格式解析**：已完成，确认为标准 Legacy BDB 格式，文件结构完整，无加密异常或损坏。
- **业务标注排查**：已确认该钱包不属于“余额为0/小额”的放弃类资产，不能走自动结案流程。
- **密码验证**：已对现有候选口令集执行过验证，结果均为失败（依据 `cracked_password=否`）。**未**进行任何字典爆破或规则枚举（合规限制），也未获得任何明文口令。
- **链上活跃度分析**：已确认地址长期静止、无转出行为，排除“资金已被动过”的可能。
- **未尝试**：未进行文件来源追溯、未调取交易对手方 KYC 信息、未查阅线下登记簿——这些是下一步的重点。