BTC 钱包风险检测与恢复评估 #1081

### 1. 一句话结论
这是一个名为“MEGA-BONUS / 4000_BTC”的比特币 Legacy 格式钱包（ID 1081），当前链上余额约 3700.007 BTC，但**尚未获得明文密码**，且**链上交易明细未同步**，因此无法确认资金转入/转出历史。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1081，主地址 `1Ec42R9GZiskVVNomEbE1GumcEoDx43r3Y`（BTC 网络）。
- **余额状态**：当前显示余额 `3700.00726971 BTC`，业务标注“余额很小（≤阈值）= 否”，即**不适用小额豁免规则**。
- **文件信息**：钱包文件名为 `MEGA-BONUS / 4000_BTC_18eY9oWL2mkXCL1VVwPme2NMmAVhX6EfyM.dat`，大小 `491520` 字节（约 480 KB），格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包）。
- **时间线**：录入时间 `2026-06-23 00:39:14`，数据标注时间 `2026-06-23 00:57:27`，最近更新时间 `2026-08-06 09:13:00`。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**没有强证据表明已获取明文密码**。
- **交易同步**：链上交易摘要显示“未发现已同步的交易记录”，即当前数据库内无转入/转出明细。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS”的钱包文件，文件名暗示其可能关联一笔 4000 BTC 的资产。文件路径位于 `fake.czb.com` 测试数据集的 `unknown` 目录下，说明它最初是作为“未知来源”样本被归档的。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`——这是 Bitcoin Core 早期版本使用的数据库结构，意味着其内部包含密钥池、交易元数据等。文件大小约 480 KB，属于中等规模，与“包含一定历史交易记录”的预期相符。

随后我们核对了主地址余额，显示约 3700 BTC，与文件名中的“4000”存在约 300 BTC 的差额。这个缺口可能是历史转出、手续费消耗，或文件名本身只是营销标签（如“MEGA-BONUS”）。**但关键问题是：链上交易记录尚未同步**，所以我们无法从钱包文件内部验证这 300 BTC 的去向。

在凭证方面，我们检查了密码状态字段，结论是“已知密码存在 = 否”。这意味着到目前为止，我们**没有**通过任何合规手段获得该钱包的明文密码或助记词。所有关于“能否打开钱包”的结论，目前只能停留在“未验证”阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：未知。当前未同步任何交易记录，无法确认该地址历史上收到过哪些转账。
- **转出（send）**：未知。同样因未同步，无法判断是否存在转出行为，也无法计算“最后转出时间”。
- **余额说明**：当前 3700.007 BTC 仅为钱包文件内记录的“余额字段”，并非链上实时验证值。若需确认实际可动资金，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统**不认为**此钱包属于“低价值/可忽略”类别。因此，它仍是一个需要严肃对待的高价值目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，表示我们尚未验证任何密码。请勿将“余额不为 0”误解为“已破解”——这是两件独立的事。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **同步链上交易**：优先在页面点击“同步交易”，获取该地址完整的转入/转出历史，验证 3700 BTC 的真实性与时间分布。
2. **核对文件名中的地址**：`18eY9oWL2mkXCL1VVwPme2NMmAVhX6EfyM` 是否与主地址 `1Ec42...` 有关联（如找零地址或内部地址），需通过钱包文件内部索引确认。
3. **检查钱包文件内的“密钥池”元数据**：统计其中包含多少个地址，判断是否为一个“多地址归集”钱包。
4. **查找同批次数据集**：路径中 `fake.czb.com` 与 `unknown` 目录提示可能存在同源样本，对比其他钱包文件命名规律（如“MEGA-BONUS”系列）。
5. **确认文件哈希与来源**：获取该 `.dat` 文件的 SHA-256，与已知泄露样本库比对，排查是否来自公开数据集。
6. **检查更新时间差异**：录入时间（6/23）与最后更新时间（8/6）相隔 44 天，确认期间是否有其他系统操作记录（如导出、复制）。
7. **补充“密码提示”类字段**：若业务系统中有备注、标签或历史工单，查找是否记录过该钱包的创建者或用途。
8. **验证余额阈值逻辑**：确认“余额很小”字段的判定阈值，避免因配置错误导致该钱包被误判为低优先级。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再猜测文件类型。
- **基础信息核对**：已提取主地址、文件名、路径、时间戳，这些字段已归档，无需重复采集。
- **密码状态确认**：已明确“未获得明文密码”，后续不应在“是否已破解”上产生误判，而应聚焦于“如何合法获取凭证”或“是否放弃”。
- **交易同步**：目前尚未执行，这是下一步的首要动作，而非已尝试项。
- **未涉及攻击性尝试**：基于安全规则，我们未进行任何字典猜测或暴力破解，后续也不建议在未授权情况下进行此类操作。