BTC 钱包风险检测与恢复评估 #1437

### 1. 一句话结论

钱包 **1437（MEGA-BONUS）** 是一枚 **BTC 旧版格式（bitcoin_legacy_bdb）** 钱包，当前链上余额为 **0.03232970 BTC**，历史共发生 **49 笔转入、0 笔转出**，最近一笔转入发生在 **2026-05-22**。截至目前，**尚未获得该钱包的明文密码**，破解工作仍在进行中。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1437，名称 `MEGA-BONUS`，主地址 `1E87cVPLZ938w7vYEA1e9RWSc8mESPA3J5`（BTC 网络）。
- **文件格式**：`bitcoin_legacy_bdb`（旧版 Berkeley DB 格式），文件大小 **81,920 字节**，路径位于 `fake.czb.com/BTC/review/` 目录下。
- **录入与更新时间**：2026-06-23 录入，2026-09-05 最后更新；数据标注日期为 2026-06-23。
- **余额状态**：链上余额 0.03232970 BTC，**业务标注“余额很小”为否**（即不因余额小而放弃处理）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有强证据表明已拿到明文密码。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转入（receive）49 笔，最后转入时间 **2026-05-22 11:29:47**；
- 转出（send）0 笔，最后转出时间 **未知**；
- 近 30 天转入/转出均为 0 笔；
- 交易时间跨度 **2868 天**（约 7.85 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日，我们在 `review` 目录中发现了这份名为 `MEGA-BONUS` 的旧版 BTC 钱包文件。文件本身是标准的 `bitcoin_legacy_bdb` 格式，大小 80 KB，属于典型的老式 Bitcoin Core 钱包。我们首先确认了它的主地址与链上余额，发现该地址在近 7 年多时间里只进不出，累计收到 49 笔款项，但从未有过任何转出记录。

从交易时间跨度看，这个钱包从约 2018 年（推算）开始活跃，直到 2026 年 5 月仍有最后一笔转入，之后便归于沉寂。我们尝试对钱包文件进行常规的格式解析与口令校验，但截至目前，**所有测试均未返回“已知密码存在”的强证据**。换句话说，我们还没有拿到那把能打开这扇门的钥匙。

由于该钱包从未转出过任何资金，且余额不为零，我们判断它并非“废弃空包”，而是可能仍有价值的“沉睡地址”。这也解释了为什么业务侧没有将其标记为“余额很小可忽略”。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **49 笔**，最后一笔发生在 **2026-05-22 11:29:47**。近 30 天无新增转入。
- **转出（send）**：共 **0 笔**，最后转出时间 **未知**（因无转出记录，故无时间可查）。
- **交易活跃度**：近 30 天转入与转出均为 0，钱包当前处于 **静默状态**。
- **总结**：这是一个 **只进不出** 的地址，历史上积累了 49 次收入，但从未动用过任何资金。当前余额 0.03232970 BTC 即为历史转入的净留存。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为 **否**。即业务侧并未因余额小而放弃此钱包，0.032 BTC 在当前币价下仍具处理价值。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，表示我们 **尚未获得任何明文密码或助记词**，所有口令验证均未成功。请注意：**“余额不为 0”不等于“密码已破解”**，两者是完全独立的维度。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **钱包文件来源背景**：`MEGA-BONUS` 名称暗示可能与某活动/奖励相关，补充该文件的来源渠道（如哪台机器、哪个业务线）有助于缩小口令猜测范围。
2. **49 笔转入的交易对手方**：调取链上转入方的地址标签，判断资金来自交易所、矿池还是个人，可能反推钱包创建场景。
3. **文件系统元数据**：获取该 `.dat` 文件的创建时间、修改时间、所属用户等元数据，辅助判断钱包生成时间与使用习惯。
4. **同目录其他钱包**：检查 `review` 目录下是否有同批次的其他钱包文件，可能存在相同口令规律。
5. **钱包内地址标签或备注**：若旧版钱包中存有地址簿备注，可能包含创建者留下的提示信息。
6. **历史导入/导出记录**：查找该钱包是否曾在其他设备或软件中导入导出，可能留下口令相关痕迹。
7. **业务侧登记信息**：向录入方调取该钱包录入时的备注字段或工单记录，确认是否有初始口令交接文档。
8. **链上首笔转入时间与金额**：精确分析第一笔转入（约 2018 年）的金额特征，辅助推断钱包用途（如挖矿、空投、收款等）。

---

### 7. 已尝试方向回顾（避免重复投入）

- **格式解析与常规口令校验**：已确认文件为标准的 `bitcoin_legacy_bdb` 格式，并对其进行了常规口令验证，**未命中**。
- **余额与交易状态排查**：已完成链上交易全量统计，确认 49 进 0 出，排除了“因转出清空而放弃”的可能性。
- **业务标注复核**：已确认业务侧未将该钱包标记为“余额很小”，说明其仍在活跃处理队列中。
- **未尝试方向**：尚未获取文件来源背景、交易对手方标签、同批次文件对比等外围线索（见第 6 节），这些是下一步的重点，而非继续盲目重复口令测试。