BTC 钱包风险检测与恢复评估 #1366

### 1. 一句话结论
这是一枚创建于2013年、最后活跃于2024年的BTC Legacy格式钱包（ID 1366），目前**尚未获得明文密码**，且业务层面**未标注“余额很小”**，意味着其内部余额可能仍有价值，值得继续推进取证，但当前缺少关键线索。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1366，币种BTC，主地址 `1CyiqmkPFb7SysXhhTdtd8ajpz58t5xFRY`，钱包名 `MEGA-BONUS`，文件为 `bitcoin_legacy_bdb` 格式（BDB数据库）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，文件名含哈希后缀 `bc9041ab19c9`，文件大小 57,344 字节。
- **时间线**：录入时间 2026-06-23，数据标注日期 2026-06-23 00:57:41，最后更新 2026-09-02。
- **密码状态**：字段 `cracked_password/actual_password` = **否**，即没有强证据表明已拿到明文密码。
- **余额标注**：字段“余额很小(≤阈值, 业务标注)” = **否**，即业务方未将其判定为低价值钱包。
- **交易统计**：转出（send）6笔，转入（receive）3笔；最后转出 2024-05-30，最后转入 2013-04-12；近30天无任何转入/转出；交易跨度 4111 天（约11.3年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在2026年6月23日被纳入取证流程。当时系统记录下它的BDB格式与文件路径，并确认它属于“MEGA-BONUS”命名系列。从时间戳看，录入后半小时内即完成了数据标注，说明初检阶段已提取了基础元数据与链上交易摘要。

随后在2026年9月2日，系统对该钱包做了一次状态更新。更新后的记录显示：**密码破解字段仍为“否”**，说明在6月至9月之间，我们尝试过的合规验证路径均未产生“已知密码存在”的强证据。同时，业务侧也给出标注：**该钱包余额并不“很小”**，这让我们判断它仍值得继续投入。

从交易时间跨度看，这是一枚“高龄”钱包：2013年4月最后一次收款，2024年5月最后一次支出，中间横跨11年。近30天零活动，说明它当前处于休眠状态，但历史支出行为表明它并非死钱包——至少在2024年还被人操作过。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共3笔，最后一笔发生在 **2013-04-12 10:26:53**。此后未再收到任何资金。
- **转出（send）**：共6笔，最后一笔发生在 **2024-05-30 10:58:20**。说明在沉寂多年后，2024年5月有一次支出动作。
- **近期活动**：近30天转入0笔、转出0笔，当前处于完全静默状态。
- **解读**：该钱包在2013年完成收款后长期休眠，直到2024年5月出现最后一笔转出。由于我们只有笔数与时间，**无法判断转出金额、对手地址或剩余余额**，这些字段未同步，暂记为未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：字段显示“余额很小 = 否”，即业务方**未**将该钱包判定为“余额可忽略”的低价值目标。这通常意味着内部记账或链上观测显示其仍有一定资金，但具体数值未在本数据集中提供。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。我们没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。
- **重要区分**：即使余额不为0，也不代表密码已拿到；反之，即使余额为0，也不代表密码一定拿不到。当前状态是：**余额可能不为零，但密码未知**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **链上地址余额与UTXO明细**：需要该主地址当前BTC余额、UTXO数量及最后一笔转出的找零地址，用于判断“余额不小”是否属实。
2. **2013年转入与2024年转出的交易哈希**：用于还原资金流向，确认是否存在关联地址或交易所提现记录。
3. **钱包文件创建时间与修改时间**：BDB文件内部时间戳可能比录入时间更早，有助于判断钱包生成环境。
4. **同批次钱包关联分析**：路径中 `fake.czb.com` 与 `MEGA-BONUS` 命名暗示可能存在同系列钱包，可横向比对命名规律与文件结构。
5. **BDB文件内部结构元数据**：在不触碰密钥的前提下，检查是否包含钱包名称、创建时间、是否加密等标志位。
6. **历史操作日志**：若该文件曾挂载于在线服务，可查找2024年5月前后的访问日志或导出记录。
7. **密码线索收集**：从文件名“MEGA-BONUS”与路径上下文推测可能的密码组合习惯，但仅作为线索，不展开攻击细节。
8. **业务侧余额标注依据**：向录入方确认“余额很小=否”的判定来源（是链上观测还是内部账本），避免误判。

### 7. 已尝试方向回顾（避免重复投入）
- **基础元数据提取**：已完成，确认格式为 `bitcoin_legacy_bdb`，文件大小57,344字节，路径完整。
- **链上交易摘要统计**：已完成，获得转入3笔、转出6笔及时间跨度，但未拉取交易哈希与金额明细。
- **密码状态验证**：已尝试过合规验证流程，但结果字段仍为“否”，说明现有材料不足以支撑密码恢复。
- **业务余额标注核对**：已确认业务方未将其标记为“余额很小”，但未提供具体数值依据。
- **未尝试方向**：尚未补充链上地址余额、交易哈希、同系列钱包对比、文件内部结构分析。这些是下一步的增量信息，而非重复劳动。