BTC 钱包风险检测与恢复评估 #1809

### 1. 一句话结论
这是一个持有 50 BTC、名为“15 WALLETS - BTC / WALLET 50 BTC”的 Legacy 格式比特币钱包，目前我们**尚未获得明文密码**，但已确认其链上历史为“纯转入、零转出”，且最后一次转入发生在 2026 年 5 月 22 日。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1809，主地址 `18h7ETAzcqRCGNXTstWSavrvhy5S5YKsQF`，币种 BTC。
- **余额**：当前显示余额为 **50.00002735 BTC**（业务标注“余额很小”为否，即不适用小额放弃策略）。
- **格式与路径**：`bitcoin_legacy_bdb` 格式，文件大小 57,344 字节，位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的 MEGA-BONUS 批次目录中。
- **录入与更新**：录入时间 2026-06-23 00:58:18，最近一次更新 2026-08-06 05:21:01。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出笔数：**0**；转入笔数：**5**。
- 近 30 天转出/转入均为 0。
- 交易时间跨度：2087 天（约 5.7 年）。
- 最后转入时间：2026-05-22 23:44:18；最后转出时间：未知。
- **密码状态**：`cracked_password / actual_password` 字段为“否”，即**没有强证据表明已拿到明文密码**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包来自一个名为“MEGA-BONUS_15 WALLETS - BTC”的批量数据集，文件名直白地标明了“WALLET 50 BTC”，说明它从一开始就是被当作高价值目标收录的。我们首先确认了它的格式是 `bitcoin_legacy_bdb`——这是比特币早期客户端常用的钱包数据库格式，文件结构相对老旧，但这也意味着它的加密方式有固定的历史特征。

随后我们核对了链上数据：这个地址从诞生到 2026 年 5 月 22 日之间共有 5 笔转入，且从未有过任何转出记录。这形成了一个非常清晰的画像——**一个只进不出的“囤币”地址**，而且余额与文件名高度吻合（50 BTC），说明这批数据的标注者当时确实掌握过该钱包的控制权或备份。

在尝试访问钱包文件的过程中，我们遇到了密码验证这道门槛。截至目前，所有针对该文件的密码验证尝试均未返回“成功”的强证据（即 `cracked_password` 仍为否）。我们目前停留在“已确认目标真实存在、余额有效，但尚未突破口令保护”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **5 笔**，最后一笔发生在 **2026-05-22 23:44:18**。近 30 天无新增转入。
- **转出（send）**：**0 笔**。最后转出时间：**未知**（因无转出记录，该字段无意义）。
- **结论**：这是一个典型的“只进不出”地址，资金沉淀时间长（跨度 2087 天），且近期（近 30 天）完全没有任何链上活动，处于静默状态。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即 50 BTC 的余额**不适用**“余额过小、放弃处理”的业务规则。此标注与密码是否破解无关。
- **是否拿到明文密码**：**否**。目前没有任何强证据（如 `cracked_password` 或 `actual_password` 字段）表明我们已经获得或验证了该钱包的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回该钱包文件的来源上下文**：确认“MEGA-BONUS_15 WALLETS”数据集是来自旧硬盘备份、历史服务商导出，还是某个已知事件的泄露包——这决定了口令的猜测方向。
2. **检查同批次其他 14 个钱包的状态**：如果同批有钱包已被成功解锁，其口令规律或命名习惯可能对本案有参考价值。
3. **寻找该地址的链上关联线索**：分析那 5 笔转入的来源地址，看是否来自已知交易所或特定矿池，可能反推出钱包创建者的身份或习惯。
4. **核对文件修改时间与录入时间差**：文件路径显示录入于 2026-06-23，但链上最后活动在 2026-05-22，中间一个月的“空窗”可能暗示文件是事后被导出的。
5. **确认钱包是否使用旧版加密算法**：`bitcoin_legacy_bdb` 格式早期可能使用较弱的口令派生方式，但这仅作为技术评估，不构成攻击指引。
6. **寻找钱包所有者的历史密码习惯线索**：例如文件名中的“MEGA-BONUS”是否对应某个特定活动或平台，该平台是否有公开的默认口令策略。
7. **补充该地址的完整交易列表（含金额与时间戳）**：当前仅有笔数统计，缺少每笔的具体金额，无法判断 50 BTC 是一次性转入还是多次累积。
8. **确认是否存在离线备份或分片**：检查数据集目录下是否有同名 `.txt`、`.csv` 或说明文档，可能包含口令提示或备份信息。

### 7. 已尝试方向回顾（避免重复投入）
- **基础口令验证**：已对钱包文件执行过标准的口令校验流程，结果未通过（`cracked_password = 否`），无需重复进行相同尝试。
- **余额业务判断**：已确认该钱包不适用“余额过小放弃”策略，后续不必再纠结于是否值得投入资源。
- **链上活跃度排查**：已确认近 30 天无任何交易，排除了“钱包仍在被原主人使用”的可能性，因此不需要监控实时链上动态。
- **格式确认**：已锁定为 `bitcoin_legacy_bdb`，排除了因格式误判导致的无效尝试。下一步应避免在格式识别上再花时间，而应聚焦于线索收集（见第 6 节）。