BTC 钱包风险检测与恢复评估 #1434

### 1. 一句话结论

这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1434），当前链上余额约 0.00036597 BTC，业务系统已将其标注为“余额很小（≤阈值）”。**目前没有任何强证据表明我们已拿到该钱包的明文密码**，破解工作仍处于“未成功”阶段。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：ID 1434，币种 BTC，主地址 `19J73wCrxRcVGkGqStvrz6s3SakgztAk3v`。
- **文件信息**：钱包名称 `MEGA-BONUS / 4.00036597.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 69,632 字节。
- **时间线**：录入时间 2026-06-23 00:46:59，数据标注日期为同日 00:57:46，最近一次更新为 2026-09-04 21:20:43。
- **余额状态**：链上余额 0.00036597 BTC；业务系统标注“余额很小（≤阈值）= 是”。
- **密码状态**：字段 `cracked_password / actual_password` 显示为“否”，即**没有强证据支持已获得明文密码**。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：0
- 转入（receive）笔数：2
- 最后转入时间：2022-05-19 19:04:51
- 最后转出时间：未知
- 近 30 天转入/转出均为 0 笔
- 交易时间跨度：0 天（字段如此，可能表示统计口径内无跨度）

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是在 2026 年 6 月 23 日被纳入取证视野的。当时系统记录下它的文件路径与格式，确认这是一个 Bitcoin Legacy 类型的 BDB 钱包文件，文件名里的“4.00036597”与链上余额吻合，说明这个文件很可能就是该地址对应的本地钱包数据。

我们首先核对了它的“身份信息”——主地址、币种、文件大小都一一对应，确认没有张冠李戴。随后我们检查了它的链上活动：发现这个地址只在 2022 年 5 月 19 日有过两笔转入，之后再无任何转出记录，也没有近 30 天的新增活动。这说明该钱包自 2022 年起基本处于“沉睡”状态。

在尝试恢复访问的过程中，我们重点验证了是否已经拿到明文密码。根据系统内 `cracked_password` 字段的强证据标记，目前结论是“否”——也就是说，我们还没有一个被证实有效的密码可以直接打开这个钱包。业务侧同时给出了“余额很小”的标注，这通常意味着从投入产出比看，继续深挖的优先级会被调低。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 2 笔，最后一笔发生在 2022-05-19 19:04:51。近 30 天转入 0 笔。
- **转出（send）**：共 0 笔。最后转出时间：未知（字段未记录）。
- **活跃度判断**：该地址自 2022 年 5 月后没有任何新的转入或转出记录，属于长期休眠地址。当前余额 0.00036597 BTC 全部来自那两笔历史转入。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

这里需要明确区分两件事：

1. **业务标注“余额很小”**：这是系统基于金额阈值做的经济性判断，表示该钱包剩余价值不高，**不等于**钱包里没有钱，也不等于已经打开钱包。
2. **是否拿到明文密码**：字段 `cracked_password / actual_password` 明确为“否”。因此，**我们尚未获得该钱包的明文密码或助记词**，任何关于“已破解”的说法都不成立。当前仍处于“未验证成功”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充钱包来源背景**：获取该 `.dat` 文件的上传者/关联案件信息，判断“MEGA-BONUS”命名的业务含义。
2. **查找同批次钱包文件**：检索同一路径目录下是否有其他 `.dat` 文件，可能共享密码规则或来源。
3. **调取 2022 年转入交易的对手方地址**：通过链上分析确认两笔转入的来源地址，可能关联到钱包持有者身份。
4. **核对文件元数据**：检查文件创建时间、修改时间是否早于录入时间，辅助判断文件是否被篡改或复制。
5. **确认“交易时间跨度=0天”的统计口径**：与数据库维护方核实该字段为何为 0，排除统计异常。
6. **寻找钱包内历史地址列表**：BDB 格式可能包含多个内部地址，导出地址列表与链上交易比对，确认是否只有主地址有余额。
7. **补充密码提示线索**：若案件材料中有任何关于密码设置习惯的笔记、邮件或聊天记录，可作为后续验证的候选方向。
8. **评估是否放弃**：鉴于余额极小且无转出记录，建议与业务方确认是否将该钱包降级为低优先级归档处理。

### 7. 已尝试方向回顾（避免重复投入）

- **基础信息核验**：已完成钱包文件与链上地址的对应关系确认，排除了文件错配的可能。
- **交易活跃度排查**：已确认该地址无近期活动、无转出记录，排除了“资金正在被转移”的紧急情况。
- **密码状态验证**：已检查强证据字段，确认当前无有效明文密码，后续不应假设“已经破解”而直接进入资金操作流程。
- **余额经济性评估**：业务系统已标记“余额很小”，提示后续投入需谨慎衡量成本收益，避免在低价值目标上过度消耗资源。