BTC 钱包风险检测与恢复评估 #1444

### 1. 一句话结论
这是一枚持有 **2 BTC** 的 Legacy 格式钱包（`wallet_2.dat`），最后一次链上活动停留在 **2014 年**，目前**尚未获得明文密码**，且**不适用“余额为 0”的业务豁免**，仍需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID `1444`，币种 BTC，主地址 `1BKcYzmyAMYXrZe38xzTxjFGXcCoftKtLr`（Legacy P2PKH 格式）。
- **文件信息**：`wallet_2.dat`，大小 `57344` 字节，版本标注为 `bitcoin_legacy_bdb`，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_wallet_2BTC_wallet_2.dat-6fb7c398862c/`。
- **余额状态**：当前显示 `2.00000000 BTC`，业务标注“余额很小(≤阈值)”为 **否**，即不满足低价值豁免条件。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入 `2026-06-23 00:47:24`，最近更新 `2026-09-04 23:00:57`，数据标注日期为 `2026-06-23 00:57:47`。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 2026 年 6 月 23 日凌晨被录入系统，当时文件快照与链上地址已绑定。从文件路径看，它来自一个名为“MEGA-BONUS”的批量审查目录，暗示这可能是某次历史活动遗留的奖励钱包。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`——这是早期 Bitcoin Core 使用的 Berkeley DB 结构，意味着它的密钥派生与加密方式带有明显的年代特征。随后我们核对了链上交易摘要，发现该地址的最后一次转出发生在 **2014 年 1 月**，而最后一次转入停留在 **2011 年 3 月**，交易跨度约 1023 天。这说明钱包在 2014 年初之后便彻底休眠。

当前工作停留在“已识别、未解锁”阶段：系统内没有记录任何“已知密码”的强证据，因此我们只能确认文件完整、地址有效、余额仍在，但**无法访问内部私钥**。整个推进过程是合规的取证流程，不涉及任何绕过或破解尝试的细节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **2 笔**，最后一笔发生在 `2011-03-30 02:50:03`。近 30 天转入 **0 笔**。
- **转出（send）**：共 **1 笔**，最后一笔发生在 `2014-01-15 18:41:00`。近 30 天转出 **0 笔**。
- **解读**：该地址在 2011 年收到两笔资金后长期持有，直到 2014 年 1 月发生唯一一次转出，此后彻底沉寂。当前余额 2 BTC 与“转入 2 笔、转出 1 笔”的统计在数量级上吻合，但具体每笔金额因缺少逐笔明细，暂无法精确对账。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包**不满足**“余额很小（≤阈值）”的豁免条件，即业务上**不能**因低价值而放弃或简化处理。
- **明文密码状态**：字段明确显示“已知密码存在”为 **否**。因此，**尚未获得明文密码**，所有关于“已解锁”或“验证成功”的说法均不成立。当前仍处于“持有文件、待解锁”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的逐笔交易明细**（金额、对手地址、交易哈希），用于精确核对 2 BTC 余额构成。
2. **查找 2014 年 1 月转出交易的接收方地址**，可能关联到钱包主人的其他身份线索。
3. **检索文件路径中 `MEGA-BONUS` 目录的上下文**，确认该钱包是否属于某次活动批量生成的奖励包。
4. **核对录入时间与文件修改时间**，判断该文件是原始导出还是经过复制的副本。
5. **收集该钱包关联的备注、标签或工单记录**（如有），寻找密码提示或持有人信息。
6. **检查同一目录下是否存在其他姊妹钱包文件**，可能共享相同密码策略或助记词来源。
7. **确认 BDB 文件内部是否包含历史地址池**，以判断该文件是否曾导入过其他密钥。
8. **补充持有人身份线索**（如邮箱、用户名、注册信息），用于合规的密码找回流程。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做重复猜测。
- **链上活跃度分析**：已确认最后活动在 2014 年，近 30 天无任何动静，无需再重复扫描近期交易。
- **低价值豁免判断**：已确认余额 2 BTC 不满足“≤阈值”的业务标注，后续不应按“小额放弃”处理。
- **密码状态确认**：已核实系统内无“已知密码”强证据，后续不应假设“已破解”而跳过解锁流程。
- **交易方向统计**：转入 2 笔、转出 1 笔已明确，无需重新统计方向，但**逐笔金额明细仍是缺口**。