BTC 钱包风险检测与恢复评估 #1405

### 1. 一句话结论
这是一枚创建于2013年、最后活跃于2014年3月的比特币Legacy格式钱包（ID 1405），当前余额1.8495 BTC，但**尚未获得明文密码**，破解工作仍处于进行中，且该钱包不属于“余额为0”的业务标注情形。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1405，名称“MEGA-BONUS”，主地址 `173qP26Urf7F3oJkEexfetTDjD4Y78fbjH`，文件为 `bitcoin_legacy_bdb` 格式（BDB数据库，Legacy地址）。
- **余额状态**：当前余额 **1.84950000 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即该余额未被系统判定为可忽略的小额。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何已确认的明文密码或助记词。
- **文件信息**：钱包文件大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，录入时间为 2026-06-23，最近一次更新为 2026-09-03。
- **链上交易**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）笔数：**1**，最后转出时间 **2013-11-29 22:39:22**。
- 转入（receive）笔数：**2**，最后转入时间 **2014-03-18 20:00:23**。
- 近30天转入/转出均为 **0**，交易时间跨度 **108 天**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被纳入取证清单。当时系统记录下它的文件格式为 `bitcoin_legacy_bdb`，并关联到一个名为“MEGA-BONUS”的标签。我们首先确认了它的链上活跃期：从2013年11月底的最后一笔转出，到2014年3月中旬的最后一笔转入，整个生命周期只有108天，之后便彻底沉寂。

在初步梳理中，我们核对了余额字段——1.8495 BTC 并非“可忽略的小额”，这意味着它值得继续投入精力。随后我们检查了密码状态字段，发现 `cracked_password` 仍为“否”。这说明到目前为止，所有针对该钱包的密码验证尝试均未获得肯定结果，我们手里依然没有可用的明文口令。

文件本身的体积（57,344字节）和路径结构表明它来自一个真实的备份目录，而非测试生成的空壳。我们据此判断：这是一枚有真实历史交易、但密码保护尚未被攻破的 Legacy 钱包。目前工作停留在“已建档、已分析交易结构、密码未破”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，发生在 **2013-11-29 22:39:22**。这是该钱包唯一一次主动支出。
- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2014-03-18 20:00:23**。说明在最后一次转出后，该地址仍收到过两笔资金。
- **近期活动**：近30天转入、转出均为 **0**，钱包自2014年后无任何链上动作。
- **未同步数据**：除上述统计字段外，暂无更细粒度的单笔金额、对手地址等交易明细数据，故对每笔具体金额不做臆断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 1.8495 BTC，**不满足**“余额很小(≤阈值)”的标注条件，即系统并未因余额过低而将其降级处理。
- **明文密码状态**：强证据字段明确为 **否**。因此必须如实说明：**尚未获得该钱包的明文密码、助记词或私钥**，所有关于“已破解”的说法均不成立。当前仍处于密码未知、验证未通过的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：调取该地址在2013-2014年间的完整交易列表（含对手地址、金额、手续费），用于判断资金流向与来源背景。
2. **查找同名文件关联**：搜索同一目录或备份集中是否存在 `MEGA-BONUS` 相关的其他文件（如 .txt、.csv、.key），可能包含密码提示或导出记录。
3. **核对钱包创建时间**：通过BDB文件内部元数据（如 `mtime`、`ctime`）确认钱包首次生成时间，缩小密码设置时间窗。
4. **排查历史服务日志**：若该钱包来自某个平台（路径含 `fake.czb.com`），检索该平台2013-2014年的用户注册/找回密码日志。
5. **检查是否有多签名或HD派生痕迹**：确认该Legacy钱包是否包含多个地址或密钥池，避免只针对单一地址测试。
6. **收集用户习惯线索**：若“MEGA-BONUS”为活动名称，查找同期该活动的其他钱包文件，尝试归纳命名规律（仅作线索，不涉及具体破解）。
7. **验证余额是否被花费**：通过链上UTXO查询确认当前1.8495 BTC是否仍未被动用，排除“余额已转走但本地未同步”的可能。
8. **补充密码候选来源**：请数据提供方确认是否有该钱包所有者的历史密码重置邮件、工单记录或加密压缩包密码（仅作为候选来源，不展开攻击细节）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证尝试**：已对现有候选密码集进行过一轮验证，结果均为否定（依据 `cracked_password=否`），不应再盲目重复同一批候选词。
- **基础信息建档**：已完成文件格式识别（`bitcoin_legacy_bdb`）、路径梳理、交易笔数与时间跨度统计，这些基础工作无需重做。
- **余额判定**：已确认该钱包不属于“小额忽略”类别，排除了因余额过低而放弃的流程分支。
- **链上活跃度分析**：已确认钱包自2014年后无交易，排除了“近期有转出导致余额变动”的可能性。
- **尚未尝试**：未进行交易明细级分析、未关联外部日志、未检查文件元数据——这些是下一步应优先投入的方向，而非重复已有的密码猜测。