BTC 钱包风险检测与恢复评估 #1049

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1049），当前余额约 0.0165 BTC，链上活动集中在 2014 年且早已停歇；截至数据更新日，**尚未获得明文密码**，且业务标注显示其“余额很小”为**否**（即余额并非可忽略的小额）。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名称 `MEGA-BONUS / 16euRht9j5pysEQ8GSyqvWQWSVL9zmBvf6.dat`，主地址 `16euRht9j5pysEQ8GSyqvWQWSVL9zmBvf6`（字段：wallet_name / address）。
- **格式与版本**：`bitcoin_legacy_bdb`，即比特币 Legacy 钱包（Berkeley DB 格式），文件大小 81,920 字节（字段：wallet_version_format / file_size）。
- **余额状态**：当前余额 `0.01649536 BTC`；业务标注“余额很小(≤阈值)”为**否**，说明该余额在业务规则下**不属于可忽略的小额**（字段：balance / is_small_balance）。
- **密码状态**：强证据字段 `cracked_password / actual_password` 为**否**，即**没有已确认的明文密码**（字段：has_known_password）。
- **链上活动**：转出 2 笔、转入 2 笔；最后转出 2014-01-31，最后转入 2014-11-07；交易跨度 284 天；近 30 天转入/转出均为 0（字段：wallet_transactions.direction / last_send / last_receive）。
- **时间线**：数据录入 2026-06-23，数据标注同日；最后更新 2026-08-06（字段：created_at / updated_at）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个 Legacy 格式的 `.dat` 文件，路径指向 `fake.czb.com` 数据集下的 `MEGA-BONUS` 目录。第一步是确认文件完整性与格式——通过文件大小与版本字段，确认它是标准的 Bitcoin Legacy BDB 钱包，而非其他变种。

随后我们核对了链上交易摘要：该地址在 2014 年有过 2 次转入和 2 次转出，时间跨度约 9 个半月，之后彻底沉寂。这说明钱包在 2014 年后基本不再被主动使用，但余额并未归零——这通常意味着“主人可能遗忘了它，或仍持有私钥但不再操作”。

在密码层面，我们检查了强证据字段：目前**没有**任何已确认的明文密码或助记词记录。也就是说，我们手里有钱包文件，但还没有打开它的钥匙。业务标注“余额很小=否”也提醒我们：这 0.0165 BTC 在当前规则下不算“可放弃的小额”，因此继续推进是有意义的。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后一笔发生在 **2014-11-07 05:55:28**。近 30 天转入笔数为 0。
- **转出（send）**：共 2 笔，最后一笔发生在 **2014-01-31 02:26:50**。近 30 天转出笔数为 0。
- **解读**：转入与转出笔数相同（各 2 笔），且转出全部发生在转入之前（最后转出早于最后转入约 280 天）。从时间顺序看，该地址在 2014 年初先有支出，2014 年底又有最后一笔收入，之后再无链上动作。**注意**：我们只依据 direction 字段统计笔数与时间，不推断具体金额流向或对手方。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即当前 0.0165 BTC 余额**不**被视为可忽略的小额。这与“余额为 0”是完全不同的概念——本钱包余额不为 0。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password / actual_password` 未标记为“是”，因此我们**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件来源信息**：该 `.dat` 文件最初由谁、在什么场景下提交？是否有配套的密码提示或历史备注？
2. **查找同名钱包的其他副本**：搜索 `MEGA-BONUS` 或该主地址是否在其他数据集/备份中出现过，可能附带不同元数据。
3. **核对 2014 年交易对手方**：通过区块链浏览器拉取该地址 4 笔交易的对手地址与时间，判断是否与某个已知服务商（如交易所、博彩站）相关，从而推测密码习惯。
4. **检查文件创建/修改时间**：本地文件系统时间戳（非链上时间）可能反映钱包导出或备份的时机。
5. **寻找同批次钱包**：路径中 `fake.czb.com` 与 `datasets` 暗示该文件来自批量测试集，查找同批次其他钱包是否已有成功案例，可复用其元数据模式。
6. **确认“MEGA-BONUS”业务含义**：名称可能对应某个历史活动/促销，若能定位到该活动的注册邮箱或用户名，可能有助于密码联想。
7. **补充密码策略线索**：若存在任何密码规则文档（如长度、字符集要求），请提供，以便缩小验证范围（仅用于内部评估，不公开细节）。
8. **提供钱包所有者的身份线索**：哪怕是非正式的昵称、注册手机号片段，都能作为后续验证的辅助信息。

### 7. 已尝试方向回顾（避免重复投入）
- **格式确认**：已完成，确认为 Bitcoin Legacy BDB，无需重复检测。
- **链上活动梳理**：已完成，转入/转出笔数与时间均已统计，无需重复拉取。
- **密码强证据检查**：已确认 `cracked_password / actual_password` 字段为否，说明此前未产生任何“已确认密码”的结果；后续不应假设“已经试出过密码”。
- **业务标注核对**：已确认“余额很小=否”，说明该钱包在业务上仍被视为有继续处理的价值，不应以“余额太小”为由搁置。
- **未尝试方向**：尚未进行任何基于外部线索（如同批次文件、历史活动背景）的关联分析，这是下一步的主要增量空间。