BTC 钱包风险检测与恢复评估 #1352

### 1. 一句话结论
该BTC钱包（ID: 1352）当前链上余额为 **983.03142960 BTC**，属于高价值资产；但截至数据标注日，**尚未获得明文密码**，破解验证未成功，且业务层面也**未将其标记为“余额很小/低价值”**，因此仍需继续推进合规取证流程。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：主地址 `16CZ4RHsb5qwQhk2aaEauaT17C49LafeVY`，钱包文件名为 `MEGA-BONUS_..._1LbpBu1oph1VG1hEZpB2CbBq6oF5AuptF1wallet.dat`，格式为 `bitcoin_legacy_bdb`（老式Bitcoin Core钱包）。
- **资产规模**：余额 983.03142960 BTC，业务标注“余额很小”为 **否**，即确认属于大额/重要资产。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **文件信息**：大小 1,421,312 字节，录入于 2026-06-23，最近更新于 2026-09-02。
- **链上活动**（依据 `wallet_transactions.direction` 统计）：
- 转出（send）19 笔，最后一笔发生在 **2012-02-15**。
- 转入（receive）56 笔，最后一笔发生在 **2026-05-22**。
- 近30天转入/转出均为 0 笔。
- 交易时间跨度 5264 天（约 14.4 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证视野。当时系统记录到它的余额高达 983 枚BTC，且文件格式是典型的 `bitcoin_legacy_bdb`——这是 2010 年代早期 Bitcoin Core 客户端留下的老式数据文件，通常意味着钱包创建时间很早。

我们首先对钱包文件本身做了静态检查：文件大小约 1.4MB，结构完整，没有截断或损坏迹象。随后我们核对了链上交易摘要，发现一个非常有意思的时间差：**最后一笔转出停留在 2012 年 2 月**，但**最后一笔转入却发生在 2026 年 5 月**。这说明该地址在沉睡了十几年后，近期又收到过资金，但从未再动过。

在尝试访问钱包内资产的过程中，我们遇到了核心瓶颈：**无法通过现有材料验证明文密码**。所有关于“密码是否已知”的强证据字段均返回否定。这意味着我们目前只能确认“钱包里有币”，但还不能确认“我们能打开它”。

整个推进过程目前停留在“证据收集与状态确认”阶段，尚未进入资产可动用状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 19 笔，最后一笔发生在 **2012-02-15 16:25:43**。此后该地址再未主动转出过任何资金。
- **转入（receive）**：共 56 笔，最后一笔发生在 **2026-05-22 11:29:47**。说明该地址在 2026 年仍有入账行为。
- **近期动态**：近30天转入与转出均为 0，即当前处于静默状态。
- **未同步/未知项**：关于每笔转入的具体来源地址、转出的具体去向地址，当前摘要未提供明细，暂标记为“未同步”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 983 BTC，业务字段“余额很小(≤阈值)”为 **否**。即这不是一个被判定为“空壳/无价值”的钱包，而是需要认真对待的高价值目标。
- **明文密码状态**：强证据字段显示 **“已知密码存在”= 否**。因此必须明确：**我们尚未拿到明文密码，也未验证成功**。任何关于“已破解”的说法均不属实。
- 结论：当前状态是“有币、有文件、无密码”，破解工作仍在进行中。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包创建者/使用者的历史操作日志**（如旧服务器登录记录、备份习惯），这是最直接的线索。
2. **调取 2026-05-22 最后一笔转入的关联交易上下文**，确认资金来源方是否可能掌握钱包密码或助记词。
3. **检查同批次钱包文件**（路径中 `datasets/fake.czb.com/BTC/real/` 下是否有其他钱包），可能存在相同密码或命名规律。
4. **核实钱包名称 `MEGA-BONUS` 的业务背景**，确认是否为某个已知活动/空投/奖励计划的遗留钱包。
5. **补充该地址在 2012 年之前的创建区块时间与首次交易时间**，用于推断钱包生成工具版本。
6. **获取该 wallet.dat 的 SHA256 哈希并比对公开泄露库**（仅做哈希比对，不涉及破解）。
7. **寻找 2012 年前后该钱包关联的邮箱、论坛账号或客服工单记录**。
8. **确认是否存在多重签名或托管第三方**，避免在单私钥路径上过度投入。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认 wallet.dat 格式完整、大小正常，无截断或加密异常迹象。
- **链上行为分析**：已梳理转入/转出时间线，确认长期休眠后近期有入账，但该线索尚未导向密码来源。
- **密码已知性核验**：已检查强证据字段，确认当前无任何已验证密码，后续不应假设“密码可能已经拿到”。
- **业务标注排查**：已确认该钱包不属于“低价值/余额为0”的忽略名单，不能以“反正没多少钱”为由降级处理。
- **未尝试方向**：尚未进行任何形式的字典/规则破解尝试（出于安全规范，不展开细节），也未对文件进行修改或暴力写入操作。