BTC 钱包风险检测与恢复评估 #947

### 1. 一句话结论
这是一枚创建于2013年、余额为14.775 BTC的比特币Legacy格式钱包（ID: 947），目前**尚未获得明文密码**，链上活动集中在2013年4月下旬的1天内，此后长期沉寂，当前处于“有余额但无法解锁”的停滞状态。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：BTC，Legacy/BDB格式，文件名为 `wallet_14,775.dat`，大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的 `MEGA-BONUS` 目录。
- **余额状态**：当前余额 **14.775 BTC**，业务标注“余额很小”为**否**（即不视为小额弃用钱包）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**未拿到明文密码**。
- **时间线**：录入时间 2026-06-23 00:37:03，数据标注日期 2026-06-23 00:57:20，最近更新 2026-08-06 07:13:00。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转出（send）1 笔，最后转出时间 2013-04-24 14:05:40。
- 转入（receive）3 笔，最后转入时间 2013-04-26 02:27:02。
- 交易时间跨度仅 **1 天**（4月24日至4月26日）。
- 近30天转出/转入均为 0，即近期无任何链上活动。
- **主地址**：`17fvgGZGFt5CBrxWbD9k5Fq8YA7nfRx9v8`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日凌晨被录入系统，当时我们注意到它的文件名带有“MEGA-BONUS”字样，且余额为14.775 BTC——不是一笔小数目，因此它被标记为“值得跟进”的对象，而非直接放弃的小额钱包。

我们首先核对了它的“身份信息”：这是一枚2013年生成的Bitcoin Core Legacy钱包（BDB格式），文件大小约56KB，属于早期标准的钱包文件结构。接着我们拉取了链上交易记录，发现它的活跃期极短：2013年4月24日有一笔转出，4月26日又有三笔转入，之后整整13年再无动静。这种“一天内完成进出、随后长期沉睡”的模式，通常指向某个历史活动地址或某次批量归集后的遗留钱包。

在尝试解锁的过程中，我们重点检查了是否存在“已知密码”的强证据——结果字段明确为“否”。这意味着我们手里并没有现成的密码或口令线索，所有关于密码的推测都还停留在假设阶段。目前钱包文件本身完好（大小正常、路径清晰），余额也未被清零，但卡在“无法验证身份”这一步。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，发生在 2013-04-24 14:05:40。这是该钱包唯一一笔支出记录。
- **转入（receive）**：共 **3 笔**，最后一笔发生在 2013-04-26 02:27:02。
- **时间跨度**：全部交易集中在 2013-04-24 至 2013-04-26 之间，跨度约 1 天。
- **近期动态**：近30天转出 0 笔、转入 0 笔，链上完全静默。
- **未同步/未知项**：关于这 1 笔转出和 3 笔转入的具体金额、对手地址、交易哈希等明细，当前数据摘要中**未提供**，因此无法判断转入是否大于转出、也无法还原余额的构成过程。如需进一步解读，需补充 `wallet_transactions` 的完整明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 14.775 BTC，业务标注“余额很小”为**否**——即它**不满足**“余额为0或极小、可视为弃用”的豁免条件，仍属于需要认真对待的有价值钱包。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**，即**尚未获得明文密码**，也没有任何“验证成功”的证据。所有关于密码的讨论目前都停留在“待测试/待补充线索”阶段，不能声称已解锁。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：调取 `wallet_transactions` 中这 4 笔交易的金额、对手地址、交易哈希，判断转入与转出的资金流向，确认余额是否由这 3 笔转入构成。
2. **查找钱包关联的备注/标签**：文件名含“MEGA-BONUS”，建议检索同目录或同批次是否有其他钱包带有相同关键词，可能属于同一批生成或同一活动。
3. **核对录入来源**：确认该钱包文件来自哪个业务场景（如活动奖励、历史冷备、交易所遗留），来源信息往往能缩小密码猜测范围。
4. **检查同批次钱包的共性**：若同目录存在多个同期钱包，对比它们的文件大小、生成时间、密码设置习惯，寻找共性线索。
5. **寻找历史备份或归档记录**：2013年时期的钱包常伴随纸质备份或加密压缩包，建议在原始数据源中检索同名或同路径的附属文件。
6. **确认钱包是否曾被导出/导入**：查看是否有其他系统或设备曾记录过该地址的导入记录，可能留下密码提示。
7. **补充“密码提示”类字段**：若原系统有备注密码提示或口令线索的字段，请一并提供。
8. **确认余额是否被花费**：通过区块链浏览器核对主地址当前UTXO，确认 14.775 BTC 是否仍在该地址名下（防止链上数据与本地文件不一致）。

### 7. 已尝试方向回顾（避免重复投入）
- **已知密码检查**：已确认 `cracked_password/actual_password` 字段为否，说明“直接命中已知密码”这条路已走不通，无需重复尝试。
- **小额豁免判断**：已确认该钱包不满足“余额很小”的弃用标准，因此不能以“零价值”为由跳过或关闭此任务。
- **链上活跃度排查**：已确认近期无任何转入转出，排除“钱包仍在被使用”的可能，也说明不会因新交易暴露新线索。
- **基础信息核对**：已确认钱包格式、路径、文件名、大小等静态信息，下一步应转向动态线索（交易明细、关联文件、来源场景），而非重复检查文件本身。