BTC 钱包风险检测与恢复评估 #952

### 1. 一句话结论

这是一个名为 `wallet_5000BTC` 的比特币 Legacy 格式钱包（ID 952），当前链上余额仅 0.00000555 BTC（约合极少量资金），业务系统已将其标注为“小额钱包”；**目前尚未获得该钱包的明文密码或私钥**，破解验证工作仍在进行中。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 952，币种 BTC，主地址 `1LrymdNnGvnNLE66cnnwn2YUxANKsrYUuU`。
- **文件信息**：钱包文件名为 `wallet_5000.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 57,344 字节，路径指向 `fake.czb.com` 测试数据集目录（`MEGA-BONUS_wallet_5000BTC` 子目录）。
- **时间线**：钱包录入时间为 2026-06-23 00:37:05，数据标注日期为同日 00:57:20，最近一次更新为 2026-08-06 07:21:00。
- **余额状态**：链上余额 0.00000555 BTC，业务系统已打标“余额很小（≤阈值）”。
- **密码状态**：事实字段 `cracked_password/actual_password` 明确为“否”，即**没有强证据表明已拿到密码**。
- **交易概况**：链上交易时间跨度 3182 天；转入 33 笔，转出仅 1 笔；最后转入发生在 2022-09-05 13:47:08，最后转出发生在 2022-09-05 04:50:38（同一天，先转出后转入）。近 30 天转入/转出均为 0 笔。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个故事要从 2026 年 6 月 23 日说起。那天凌晨，系统在 `fake.czb.com` 的测试数据集里发现了一个名字很唬人的钱包——`wallet_5000BTC`。名字暗示“5000 BTC”，但当我们打开链上账本时，发现它的真实余额只有 0.00000555 BTC，连一杯咖啡都买不起。

我们首先核对了钱包文件本身：这是一个典型的 Bitcoin Legacy 格式（BDB 数据库），文件大小约 56 KB，属于早期比特币客户端常用的结构。文件名和路径都带有“MEGA-BONUS”和“5000BTC”字样，更像是历史活动或测试环境留下的纪念品，而非真实的大额资产。

接着我们拉取了链上交易流水。数据告诉我们：这个地址在 3182 天里共收到 33 笔转入，但只转出过 1 笔。最后一次动账停留在 2022 年 9 月 5 日——那天凌晨 4 点 50 分转出了一笔，下午 1 点 47 分又收到一笔，此后便再无动静。近 30 天更是完全静默。

关于“能不能解开这个钱包”，我们目前的结论很明确：**尚未成功**。业务系统里有一个“余额很小”的标注，但这只是基于金额阈值的业务判断，并不代表密码已被破解。事实字段里 `cracked_password` 为“否”，意味着我们手里还没有可验证的明文密码或私钥。整个推进过程，目前停留在“已完成基础信息采集与链上行为梳理”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 33 笔，最后一笔发生在 2022-09-05 13:47:08。近 30 天转入 0 笔。
- **转出（send）**：共 1 笔，最后一笔发生在 2022-09-05 04:50:38。近 30 天转出 0 笔。
- **行为特征**：转入远多于转出，且最后一天内先转出 1 笔、后转入 1 笔，之后地址进入静默期。从统计上看，该地址更像是一个“历史收款地址”，而非活跃支出地址。
- **未知项**：由于未同步交易金额与对手地址明细，我们无法判断这 33 笔转入的具体来源或那 1 笔转出的去向。若需进一步解读资金流向，需补充 `wallet_transactions` 的完整字段（金额、对手地址、交易哈希）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

这里必须把两件事分开讲清楚：

- **业务标注“余额很小”**：这是系统基于余额阈值（0.00000555 BTC）自动打上的标签，仅代表“该钱包当前链上资金价值极低”，**不代表钱包已清空或已破解**。
- **是否拿到明文密码**：**否**。事实数据中 `cracked_password/actual_password` 明确为“否”，即目前没有已验证的密码、助记词或私钥。所有关于“已解开”的说法均不成立。

简单说：钱包“没什么钱”是事实，但“打不开”也是事实。两者不能混为一谈。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充链上交易明细**：获取 `wallet_transactions` 中每笔交易的金额、对手地址、交易哈希，以便还原 33 笔转入与 1 笔转出的完整资金图谱。
2. **核实钱包来源背景**：确认 `wallet_5000BTC` 与 `MEGA-BONUS` 目录的出处——是历史空投活动、测试网数据，还是旧版客户端自动生成的示例钱包。
3. **检查同批次钱包文件**：在 `fake.czb.com/BTC/fake/` 目录下是否存在同命名规则（如 `wallet_1000BTC`、`wallet_10000BTC`）的兄弟文件，用于判断是否为批量生成的测试集。
4. **核对录入时间与文件修改时间**：比对钱包文件在磁盘上的创建/修改时间与数据库录入时间（2026-06-23）是否一致，排除文件被后期替换的可能。
5. **调取钱包文件内部结构元数据**：在不触碰密钥的前提下，检查 BDB 文件中是否包含钱包名称、创建时间、派生路径等非敏感元数据。
6. **确认“5000BTC”命名的业务含义**：向数据集提供方核实该命名是营销文案、历史余额快照，还是单纯的随机命名。
7. **检查是否有配套的密码提示文件**：在相同目录或备份中查找是否存在 `readme`、`password_hint` 等旁证文件。
8. **评估该地址的历史峰值余额**：通过区块链浏览器或本地索引，查询该地址在 3182 天跨度内是否曾持有过大额资金，以判断是否值得继续投入破解资源。

---

### 7. 已尝试方向回顾（避免重复投入）

- **基础信息采集**：已完成钱包文件格式识别（Legacy BDB）、文件大小与路径记录、链上交易笔数与时间跨度统计。
- **余额与业务标注核对**：已确认链上余额极低，且业务系统已打标“小额钱包”。
- **密码状态核查**：已确认 `cracked_password` 字段为“否”，未进入“已破解”状态。
- **交易活跃度分析**：已确认近 30 天无任何转入/转出，地址处于休眠状态。

**尚未开展或需避免重复的方向**：目前没有证据表明已尝试过字典攻击或规则爆破，且根据安全规则，我们不会在此记录任何具体攻击手法。若后续要推进，重点应放在**外围线索收集**（如第 6 节所列），而非对同一份文件反复做无差别的密码猜测——因为文件本身已显示余额极低，投入产出比需要先由业务方确认。