BTC 钱包风险检测与恢复评估 #1019

### 1. 一句话结论

钱包ID 1019（MEGA-BONUS / wallet_19,336.dat）是一枚持有约18.33 BTC的Bitcoin Legacy格式钱包，目前**尚未获得明文密码**，但通过链上数据已确认其活跃期长达约13.6年，且转入活动明显多于转出，具备继续推进取证的价值。

### 2. 我们掌握的事实（证据链）

- **钱包基础信息**：币种BTC，主地址 `1CHt78MX8guoVVfHc3GdTBxPH9bVzoFbN4`，版本 `bitcoin_legacy_bdb`，文件大小131,072字节，录入于2026-06-23。
- **余额状态**：当前余额 **18.33615800 BTC**，业务标注“余额很小(≤阈值)”为**否**，说明该余额在业务层面被视为有意义的资产量。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何强证据表明已获取明文密码或助记词。
- **交易统计（来自 wallet_transactions.direction）**：
- 转出（send）笔数：3
- 转入（receive）笔数：31
- 最后转出：2024-08-23；最后转入：2025-01-28
- 近30天转入/转出均为0，说明近期无主动操作。
- 交易时间跨度：4982天（约13.6年），属于长期持有的老钱包。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这枚钱包最早在2026年6月23日被纳入审查清单，当时系统记录下它的文件路径与格式，确认是Bitcoin Core时代的Legacy/BDB类型钱包。我们首先做的是“静态体检”：核对文件大小、版本、主地址，并同步拉取链上交易摘要。

链上数据很快勾勒出一幅画像——这不是一个频繁进出的热钱包，而是一个**长期积累的存储型地址**。31笔转入对应了多年间的多笔收入，而转出仅3笔，且最后一笔转出发生在2024年8月，之后转入也止步于2025年1月。这说明钱包主人可能已将其“冷置”。

在密码层面，我们目前只确认了“尚未突破”。没有字段表明存在已知密码或已还原的助记词，因此所有关于“已破解”的说法都不成立。我们也没有对余额做“归零”误判——业务标注明确显示该余额不小，不能因未破解而草率结案。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共31笔，时间跨度覆盖多年，最近一笔发生在2025-01-28。转入频率远高于转出，符合“持续收入、极少动用”的特征。
- **转出（send）**：共3笔，最后一笔发生在2024-08-23。转出次数极少，说明该地址历史上仅发生过个位数的支出行为。
- **近30天活动**：转入0笔、转出0笔，当前处于静默状态。
- **方向未知部分**：关于每笔交易的具体金额、对手地址、以及是否涉及找零等细节，当前数据未同步，暂记为**未知**，需补充交易明细后进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务余额标注**：当前余额18.33 BTC，业务标注“余额很小”为**否**。这意味着在业务层面，该钱包**不因余额过低而被放弃**，仍属于高优先级目标。
- **明文密码状态**：字段明确显示“已知密码存在”为**否**。因此，我们**尚未获得**任何明文密码、助记词或私钥。所有关于“已拿到密码”的说法均不属实，当前仍处于“未破解/测试中”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充完整交易明细**（每笔转入/转出的时间、金额、对手地址），用于判断资金归集路径与找零结构。
2. **调取钱包文件创建时间与最后修改时间**的元数据，辅助判断钱包生成环境。
3. **排查该主地址在公开论坛/交易所有无关联留言或注册记录**（如bitcointalk、交易所充值地址绑定）。
4. **检索同一路径下其他钱包文件**（如MEGA-BONUS系列），判断是否存在多钱包共用口令的习惯。
5. **收集2024-08-23最后一笔转出前后的链上行为**，分析转出后是否有资金回流至本地址。
6. **核对2025-01-28最后一笔转入的来源地址**，该地址可能是熟人/交易对手，具备社会工程学线索价值。
7. **检查钱包文件是否包含“keypool”或“hdseed”相关残留元数据**（仅作取证判断，不涉及破解）。
8. **补充钱包持有人的历史操作日志**（如录入人、录入批次、来源渠道），明确该钱包是用户主动上报还是链上监控发现。

### 7. 已尝试方向回顾（避免重复投入）

- **静态文件分析**：已确认格式为bitcoin_legacy_bdb、大小131KB，未发现异常压缩或加密壳。
- **链上统计初筛**：已拉取转入/转出笔数与时间跨度，确认长期持有特征，但未深入逐笔分析。
- **密码状态核验**：已检查是否存在“已知密码”字段，结果为否，因此**不应再假设密码已泄露**。
- **余额业务判定**：已确认余额不小，排除了“因余额过低而放弃”的路径。
- **未尝试方向**：尚未进行交易对手聚类、地址标签关联、以及钱包文件内非密钥字段的取证提取。后续应优先补充交易明细与外部情报，而非重复做文件格式识别或余额判断。