BTC 钱包风险检测与恢复评估 #1649

### 1. 一句话结论
这是一枚持有 **42.53720129 BTC** 的 Legacy 格式比特币钱包（钱包ID 1649），目前**尚未获得明文密码**，但链上数据显示其近期（2025年1月）仍有转入记录，属于“有活跃关联但密码未破”的状态，而非“余额为零的空钱包”。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：币种 BTC，主地址 `1NKmf6GszBQ6wo349LUT4Je1csNyDDpb5Y`，钱包名称含“MEGA-BONUS / WALLET42.53BTC”字样，文件格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **余额与标注**：当前余额 **42.53720129 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额不视为小额。
- **密码状态字段**：`已知密码存在(强证据: cracked_password/actual_password)` = **否**，即目前无任何强证据表明已拿到明文密码。
- **文件实体**：钱包文件大小 57,344 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的一个带哈希后缀的目录中，文件名为 `WALLET42.53BTC-1NKmf6GszBQ6wo349LUT4Je1csNyDDpb5Y.dat`。
- **录入与更新时间**：录入时间 2026-06-23，最近一次更新 2026-08-06，数据标注日期与录入时间一致。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最初是在 2026 年 6 月 23 日被纳入审查清单的。当时系统记录下它的文件名和路径，文件名里直接带着“42.53BTC”和主地址，说明它一开始就是按“高价值目标”被归类的。

我们首先核对了它的“身份信息”：格式是 `bitcoin_legacy_bdb`，这是比特币早期客户端常用的钱包数据库格式，意味着它的密钥派生和加密结构与现代钱包不同，需要专门的兼容处理流程。

接着我们检查了它的“家底”——链上交易摘要。数据显示：转出仅 2 笔，转入多达 16 笔，最后转出停留在 2013 年 11 月 30 日，而最后转入却发生在 2025 年 1 月 28 日。这个时间差很关键：它沉寂了十几年，却在 2025 年初又收到过一笔钱。这说明这个地址并没有被彻底遗忘，背后可能仍有操作者或自动脚本在维护。

截至最近一次更新（2026 年 8 月 6 日），系统对它的密码状态标记依然是“否”——也就是说，我们目前只完成了对钱包文件的格式识别、余额确认和交易历史梳理，但**尚未突破密码这一关**。整个推进过程停留在“资料齐全、待解密”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-11-30 22:32:07**。近 30 天转出笔数为 **0**。
- **转入（receive）**：共 **16 笔**，最后一笔发生在 **2025-01-28 15:27:07**。近 30 天转入笔数为 **0**。
- **交易时间跨度**：4081 天（约 11.2 年）。
- **解读**：该地址在 2013 年有过少量转出后，长期处于“只进不出”或“基本静默”状态，直到 2025 年初又有一笔转入。**注意**：我们只依据 `direction` 字段统计笔数与时间，**不推断**这些交易的具体对手方或资金性质（如是否是找零、是否是同一人控制），这些均属未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即系统并不认为 42.53 BTC 是小额。因此，**不存在**“因为余额接近 0 而放弃”的业务判断。
- **是否拿到明文密码**：事实字段 `已知密码存在` = **否**。因此，我们**尚未获得**该钱包的明文密码、助记词或私钥。任何关于“已破解”的说法均不成立，当前仍处于“密码未知、尝试未果”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **2025-01-28 最后一笔转入的完整交易哈希及对手地址**——这是最近一次活动，可能关联到钱包实际控制人或其关联钱包。
2. **2013 年两笔转出的目标地址**——早期转出可能流向交易所或已知服务商，有助于定位历史主人。
3. **钱包文件创建时间或首次备份时间**（若能从文件元数据或目录结构推断）——可辅助判断密码设置年代，缩小范围。
4. **该地址在公开区块链浏览器上的标签**（如交易所充值地址、已知黑名单等）。
5. **钱包文件所在目录的其他文件**——路径中带有 `review` 和哈希目录，可能同一批次有多个钱包，横向对比文件名规律。
6. **钱包名称中“MEGA-BONUS”的语义线索**——可能是某个活动、网站或游戏的名称，可尝试在公开互联网档案中检索该词与比特币地址的关联。
7. **2013 年至 2025 年间该地址是否有零金额交易（OP_RETURN 或粉尘交易）**——可补充行为画像。
8. **钱包文件本身的内部结构元数据**（如是否包含非标准密钥派生路径提示），但需注意合规边界。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与余额确认**：已完成，确认是 `bitcoin_legacy_bdb`，余额 42.53 BTC，非小额。
- **链上交易统计**：已完成，梳理了 2 笔转出、16 笔转入的时间与笔数，确认近期无 30 天活动。
- **密码状态核查**：已确认系统内无“已知密码”强证据，说明此前未通过任何合规途径获得明文密码。
- **未尝试或需避免的**：任何针对密码的暴力猜测、字典攻击或私钥逆向推导，均不在合规复盘范围内，且属于安全红线，不应重复投入。下一步应优先补充**外部情报线索**（如地址标签、关联交易对手），而非在本地重复计算。