BTC 钱包风险检测与恢复评估 #968

### 1. 一句话结论
这是一枚持有 **14.35227778 BTC** 的 Legacy 格式比特币钱包（钱包ID 968），当前**尚未获得明文密码**，且业务上**未被标记为“余额很小/低价值”**，因此仍具备继续推进的价值；其链上活动呈现“早年转出、近年转入”的清晰时间分层。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1AYyMBbxXv9E29qJoTpbd6ocje81ZAJQsF`，钱包名 `MEGA-BONUS / WALLET14.35BTC-...`，版本 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **资产规模**：当前余额 **14.35227778 BTC**，业务标注 `余额很小=否`，即**不因金额小而放弃**。
- **密码状态**：字段 `已知密码存在(cracked_password/actual_password)=否`，即**没有任何强证据表明明文密码已被拿到**。
- **文件信息**：路径位于 `fake.czb.com/BTC/real/` 目录下，文件大小 **532,480 字节**，录入时间 2026-06-23，最近更新 2026-08-06。
- **链上统计**：转出 2 笔、转入 40 笔；最后转出 **2011-06-19**，最后转入 **2025-01-27**；近 30 天无任何转入/转出；交易跨度 **4988 天**（约 13.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026-06-23** 被纳入取证库，当时系统记录下它的文件名、路径和 14.35 BTC 的余额。从文件格式看，它属于比特币早期的 `bitcoin_legacy_bdb` 类型——这类钱包通常对应 2010–2013 年间的客户端，文件结构较老，但**不代表密码容易获取**。

我们随后拉取了链上交易摘要，发现一个有意思的时间分层：**2011 年曾有 2 笔转出**，之后长达十余年几乎没有动作，直到 **2025 年 1 月** 出现最后一笔转入。这说明该地址在“沉睡”多年后仍有外部资金汇入，可能意味着原主人或相关方依然在管理它，也可能只是历史转账的延迟归集。

在密码层面，目前所有字段均显示**没有已知明文密码**。我们既没有收到来自任何渠道的密码线索，也没有在数据集中看到“验证成功”的标记。因此，当前阶段属于“**持有资产、但尚未解锁**”的状态，而非“已破解待提取”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2011-06-19**。此后至今 **无任何转出记录**。
- **转入（receive）**：共 **40 笔**，最后一笔发生在 **2025-01-27**。近 30 天转入笔数为 **0**。
- **近期活跃度**：近 30 天转入/转出均为 0，说明该地址当前处于**静默状态**，没有正在进行的链上操作。
- **未同步/未知项**：关于每笔转入的具体金额、对手地址、以及 2011 年那 2 笔转出的去向，当前数据摘要中**未提供明细**，需补充 `wallet_transactions` 的完整列表才能进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包**未被标记为“余额很小/低价值”**（`余额很小=否`），说明业务层面认为 14.35 BTC 值得继续投入资源。
- **密码状态**：字段 `已知密码存在=否`，即**尚未获得明文密码**，也没有任何“验证成功”的证据。所有关于“已破解”的说法均不成立。
- **重要区分**：余额不为 0 ≠ 密码已拿到。当前我们只是**确认了资产存在且可寻址**，但**无法动用**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取完整交易明细**：拉取 `wallet_transactions` 全量列表，确认 40 笔转入与 2 笔转出的金额、时间、对手地址，以判断资金性质（归集/找零/外部支付）。
2. **检查钱包文件内部结构**：在不触碰密码的前提下，解析 `.dat` 文件的元数据（如是否包含非加密的密钥提示、创建时间戳、钱包标签）。
3. **寻找文件名关联线索**：钱包名含 `MEGA-BONUS` 与 `WALLET14.35BTC`，可尝试在历史论坛、比特币早期水龙头/奖励活动中检索该名称。
4. **核对 2011 年转出记录**：那 2 笔转出发生在 2011 年，若能获取交易哈希，可查当时接收方地址，可能关联到旧交易所或早期矿池账户。
5. **检查 2025 年转入来源**：最后一笔转入在 2025-01-27，来源地址若属于已知交易所热钱包，则可能关联到实名账户。
6. **补充钱包文件哈希**：记录 `.dat` 文件的 SHA-256，便于在公开数据泄露库中交叉比对（仅比对哈希，不涉及破解）。
7. **确认录入来源**：该文件路径在 `fake.czb.com` 下，需补充该目录的采集来源说明（是用户提交、镜像抓取还是内部迁移）。
8. **评估时间成本**：鉴于文件为 Legacy BDB 格式且无任何密码线索，建议先做上述线索收集，再决定是否投入高强度计算资源。

### 7. 已尝试方向回顾（避免重复投入）
- **密码线索排查**：已确认数据集中**不存在** `cracked_password` 或 `actual_password` 字段的强证据，说明此前未通过任何渠道获得明文密码。
- **业务价值筛选**：已完成“余额很小”的阈值判断，结论为**不放弃**，因此无需再重复评估是否值得处理。
- **链上活跃度检查**：已确认近 30 天无交易，排除了“正在被他人使用”的即时风险，也排除了“近期有转出导致余额变动”的可能。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再花时间猜测钱包类型或版本。
- **未尝试方向**：尚未进行交易对手分析、文件名语义挖掘、文件哈希比对——这些是下一步的重点，避免重复做已完成的“密码有无”与“余额大小”判断。