BTC 钱包风险检测与恢复评估 #1112

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币Legacy格式钱包（ID: 1112），当前链上余额为 **0.00122539 BTC**（业务标注为“余额很小”），**尚未获得明文密码**，目前处于证据梳理与线索补全阶段，而非破解成功阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名称 `MEGA-BONUS / 15KeSdnNDVrCQ62TGFRNEx3xedKwXMpvn5.dat`，主地址 `15KeSdnNDVrCQ62TGFRNEx3xedKwXMpvn5`（字段：wallet_name, main_address）。
- **文件规格**：格式为 `bitcoin_legacy_bdb`，文件大小 229,376 字节，路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下的 `.dat` 文件（字段：wallet_version/format, file_size, wallet_path）。
- **录入与更新**：录入时间 2026-06-23 00:39:53，数据标注日期 2026-06-23 00:57:29，最后更新 2026-08-06 09:34:59（字段：created_at, data_date, updated_at）。
- **余额状态**：链上余额 0.00122539 BTC，业务侧已标注“余额很小（≤阈值）”（字段：balance, is_low_balance）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码（字段：has_known_password）。
- **交易统计**：转出 1 笔、转入 3 笔；最后转出 2014-01-19，最后转入 2022-06-03；近 30 天转入/转出均为 0；交易跨度 3059 天（字段：wallet_transactions.direction, last_send/receive_time, tx_span_days）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日将这个钱包纳入分析范围，当时它被标记为“MEGA-BONUS”，文件格式是典型的 Bitcoin Legacy BDB 类型，大小约 224 KB，属于早期 Bitcoin Core 钱包的常见形态。我们首先核对了它的链上状态，发现余额非常小，且业务系统已自动将其归类为“低价值”钱包。

随后我们梳理了它的交易时间线：这个地址在 2014 年有过一次转出，之后在 2022 年有过三笔转入，但近 30 天没有任何动静。这说明它可能是一个“沉睡”多年的老钱包，最近一次活动也已是 2022 年的事。

在密码验证环节，我们检查了强证据字段，确认目前**没有**任何一条已确认的明文密码记录。也就是说，我们手里有文件、有地址、有交易历史，但**没有钥匙**。整个推进过程目前停留在“资料齐全、密码未明”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2014-01-19 20:27:23**。这是该地址最早也是唯一一次主动支出行为。
- **转入（receive）**：共 3 笔，最后一笔发生在 **2022-06-03 10:55:16**。说明该地址在 2022 年仍有入账，但此后未再活动。
- **近期动态**：近 30 天转出 0 笔、转入 0 笔，当前处于完全静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、交易哈希等明细数据，因此无法判断这三笔转入是否与“MEGA-BONUS”名称所指的活动有关。若需进一步解读，需补充 `wallet_transactions` 的完整明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注为“余额很小（≤阈值）”，指的是当前链上余额 **0.00122539 BTC** 低于业务设定的关注线，这与“是否破解”无关，仅用于提示该钱包的经济价值有限。
- **密码状态**：强证据字段 `cracked_password/actual_password = 否`，因此我们**尚未获得任何明文密码**，也没有完成任何验证成功的记录。所有关于“已破解”的说法均不属实。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包文件来源信息**：该 `.dat` 文件最初从哪台设备/哪个备份目录收集而来？是否有配套的 `.conf` 或日志文件？
2. **交易明细数据**：补充 `wallet_transactions` 的完整字段（金额、对手地址、txid、手续费），用于还原 2014 年转出与 2022 年转入的具体背景。
3. **地址关联分析**：主地址 `15KeSdn...` 是否在其他案件或钱包中出现过？是否有公开标签（如交易所、赌博网站）？
4. **文件名线索**：“MEGA-BONUS”这一名称是否对应某个已知平台活动、促销或历史事件？可尝试在业务档案中检索该关键词。
5. **时间节点对照**：2014-01-19 与 2022-06-03 这两个日期附近，是否有其他钱包发生类似转入/转出？可做群组分析。
6. **文件元数据**：`.dat` 文件的创建时间、修改时间（非链上时间）是否与录入时间一致？可判断文件是否被复制或篡改过。
7. **备份与归档记录**：该钱包是否在 2022 年转入后有过备份操作？备份文件是否存在于其他路径？
8. **用户关联信息**：是否有该钱包对应的历史工单、申诉记录或用户留言？哪怕只是昵称或邮箱片段。

### 7. 已尝试方向回顾（避免重复投入）
- **链上余额与活跃度核查**：已完成，确认余额极低、近期无交易，业务价值有限。
- **密码强证据检查**：已核查 `cracked_password/actual_password` 字段，结果为否，说明常规的密码验证流程尚未产出结果，无需重复执行同一验证。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出笔数与时间统计，无需重新统计。
- **文件格式与路径确认**：已确认是 Legacy BDB 格式，路径指向 `fake.czb.com` 数据集目录，说明该文件可能来自测试或模拟环境，后续应避免在真实环境假设上投入过多。