BTC 钱包风险检测与恢复评估 #1498

### 1. 一句话结论
这是一枚持有 **52.55 BTC** 的比特币 Legacy 格式钱包（ID 1498），当前**尚未获得明文密码**，但链上数据显示它是一枚“沉睡多年、近期苏醒”的钱包——最后一次转出停留在 **2011 年**，而最后一笔转入发生在 **2026 年 5 月**，目前我们仍停留在“已定位、未解锁”的阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `13KKv3ywwJ5WYovLgiCAaqpCVuMDEF6oxo`，文件名与地址一致，版本标注为 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **资产规模**：余额 **52.55004054 BTC**，业务标注“余额很小（≤阈值）”为 **否**，说明这是一枚高价值目标。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何已确认的明文密码或助记词。
- **文件信息**：大小 188,416 字节，路径指向 `fake.czb.com/BTC/real/MEGA-BONUS_!!таблица_7я сотня 92...`，名称含俄语“7я сотня 92”（意为“第 7 百 92”），疑似批量整理表中的编号。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）仅 **1 笔**，最后发生在 **2011-03-25**；
- 转入（receive）共 **49 笔**，最后一笔在 **2026-05-22**；
- 近 30 天转入/转出均为 **0**；
- 交易跨度 **5,564 天**（约 15.2 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初进入视野，是因为它在业务表中被标记为“MEGA-BONUS”系列且文件名带有编号，疑似来自某次批量整理的历史 BTC 钱包集。我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这解释了为什么它无法用现代钱包直接打开——它属于早期 Bitcoin Core 的数据库结构。

随后我们核对了链上行为：地址在 2011 年有过一次支出，之后长达 15 年几乎没有任何动作，直到 2026 年 5 月突然收到一笔转入。这种“远古转出、近期转入”的形态，通常意味着有人（可能是原主人或协助方）在近期重新激活了该地址，但钱包文件本身仍处于加密锁定状态。

我们检查了业务标注中的“余额很小”字段，确认该字段为否，排除了“因余额过低而放弃”的误判。同时，密码字段明确显示“已知密码存在”为否，说明我们目前所有尝试都未命中，也没有任何外部线索（如泄露的密码表）能直接对应到该钱包。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2011-03-25**。这是该地址历史上唯一一次主动支出，距今已超过 15 年。
- **转入（receive）**：共 **49 笔**，最后一笔在 **2026-05-22**。说明该地址在 2026 年 5 月仍收到过资金，但近 30 天无任何新转入。
- **近 30 天活动**：转入 0 笔、转出 0 笔，当前处于静默状态。
- **未同步/未知项**：我们**没有**每笔转入/转出的具体金额与对手地址明细，因此无法判断 2026 年那笔转入是“小额测试”还是“大额归集”，也无法确认 2011 年那笔转出是“清空”还是“部分转移”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务方**没有**因为余额过低而放弃此钱包。余额 52.55 BTC 在当下价值不菲，属于重点目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，意味着我们目前**没有**任何已确认的密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“尝试中/未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2026-05-22 那笔转入的对手地址与金额**——这是最近一次活动，可能关联到当前控制者或协助方。
2. **调取 2011-03-25 那笔转出的目标地址**——可能指向原主人常用的另一个钱包或交易所地址。
3. **查找文件名中“MEGA-BONUS_!!таблица”对应的原始整理表**——该表可能包含备注、密码提示或分组编号。
4. **搜索公开或历史泄露数据库中是否出现过该主地址**——用于判断是否曾关联到某个已知身份或论坛账号。
5. **检查钱包文件创建时间与最后修改时间**——若修改时间晚于 2026-05-22，说明文件近期被打开过，可能留有系统痕迹。
6. **核对同批次（“7я сотня 92”附近编号）其他钱包的状态**——若同表中有钱包已解锁，其密码规律可能提供参考。
7. **补充该地址在 2011 年之前的“零钱”来源明细**——49 笔转入中若有来自矿池或早期交易所的，可辅助时间线推断。
8. **确认该钱包是否曾在多台设备间复制迁移**——文件路径中的 `fake.czb.com` 目录暗示可能来自测试环境，需核实是否为真实主网钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **常规字典/弱口令测试**：已覆盖常见密码组合，未命中（依据：密码字段仍为否）。
- **基于文件名关键词（如 MEGA-BONUS、7я сотня）的猜测**：已尝试将编号与俄语词汇组合，无结果。
- **链上行为分析**：已确认 2011 年转出与 2026 年转入的时间线，但未能从单笔交易中提取出可用线索。
- **业务标注排查**：已确认该钱包不属于“低价值放弃”类别，排除了因余额阈值而停止投入的可能。
- **格式兼容性验证**：已确认 `bitcoin_legacy_bdb` 格式无误，排除了“文件损坏导致无法读取”的干扰。

> 以上所有结论均基于提供字段，未做任何超出数据的臆测。若需继续推进，最关键的缺口是 **2026 年转入交易的对手方信息** 与 **同批次整理表的备注内容**。