BTC 钱包风险检测与恢复评估 #978

### 1. 一句话结论
钱包 `MEGA-BONUS / 1NyEeyXu8ydNw67e3ZTUmkwQJ8QNd1o3cF` 是一份 **2015 年创建、2022 年后停止活跃** 的比特币 Legacy 格式钱包文件，当前余额仅 0.00000645 BTC（业务标注为“小额”），**尚未获得明文密码**，且链上活动已完全静止。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：名称 `MEGA-BONUS`，主地址 `1NyEeyXu8ydNw67e3ZTUmkwQJ8QNd1o3cF`，文件为 `bitcoin_legacy_bdb` 格式（BDB 数据库，98304 字节）。
- **录入与更新**：2026-06-23 录入并完成数据标注，最近一次更新为 2026-08-06，说明该钱包已进入长期跟踪池。
- **余额状态**：当前余额 0.00000645 BTC，业务规则判定为“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即没有强证据表明已拿到明文密码。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入 12 笔，最后转入 2015-08-25；
- 转出 5 笔，最后转出 2022-09-26；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 2809 天（约 7.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这份钱包最早在 2026 年 6 月 23 日被纳入分析流程。当时我们拿到的是一个 `.dat` 文件，路径显示它来自一个名为 `fake.czb.com` 的测试/镜像数据集，文件名带有哈希后缀 `0ea3a2d831ef`，说明它可能经过复制或归档处理。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`——这是比特币早期客户端常用的 Berkeley DB 存储结构。文件大小 98304 字节，属于典型的小型钱包（仅含少量密钥记录）。随后我们核对了链上行为：该地址在 2015 年 8 月有过最后一笔转入，此后长期沉寂，直到 2022 年 9 月出现最后一笔转出，之后彻底停止活动。

在尝试访问钱包内容的过程中，我们始终遵循“不还原明文密码”的安全边界。目前所有证据都指向：**这是一个历史遗留的低价值钱包**，其业务标注“余额很小”与链上余额一致。我们没有发现任何“已破解”标记，因此当前结论只能是“尚未获得明文密码”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 12 笔，最后一笔发生在 **2015-08-25 13:21:07**。说明该地址在 2015 年夏季前后接收过资金，此后不再有收入。
- **转出（send）**：共 5 笔，最后一笔发生在 **2022-09-26 10:24:42**。说明在 2022 年 9 月有一次清空或部分转出操作，之后地址不再有任何链上动作。
- **近期活动**：近 30 天转入/转出均为 0，与“最后活动停留在 2022 年”一致。
- **未知项**：我们没有同步每笔交易的金额与对手地址，因此无法判断 2022 年那次转出是“清空”还是“部分转移”，也无法还原历史资金流向的完整路径。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”为 **是**，这是基于当前链上余额 0.00000645 BTC 的客观判断，**不等于**“余额为 0”。该钱包仍存有约 645 聪（satoshis），只是价值极低。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即 **没有拿到明文密码**。我们目前无法打开该钱包的密钥池，所有关于“密码已破解”的说法均不成立。当前仍处于“尝试访问但未成功”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 2022-09-26 最后一笔转出的目标地址与金额**——判断是否为清空操作，有助于确认钱包是否还有隐藏余额。
2. **获取该钱包的创建时间线索**（如文件元数据、首次交易时间 2015 年）——用于推测密码设置习惯。
3. **查找是否有同名钱包 `MEGA-BONUS` 的其他备份文件**——路径中哈希后缀暗示可能存在多份副本。
4. **确认 `fake.czb.com` 数据集的来源说明**——该路径可能意味着钱包来自测试环境，密码强度可能较低。
5. **调取 2015 年 8 月转入时的交易备注或关联地址**——若与某个已知服务商关联，可缩小密码猜测范围。
6. **检查钱包文件内是否包含非 BTC 的元数据**（如标签、备注字段）——BDB 格式有时会存储额外信息。
7. **核对业务侧“余额很小”的判定阈值**——确认 0.00000645 BTC 是否真的低于该阈值，避免误判。
8. **补充该地址在 2015-2022 年间的完整交易列表**——目前只有汇总统计，缺少逐笔明细。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与文件解析**：已确认是 `bitcoin_legacy_bdb`，并完成文件大小、路径、时间戳的核对，无需重复做基础格式判断。
- **链上行为分析**：已拉取转入/转出笔数与最后活动时间，确认钱包已休眠，无需再次统计交易方向。
- **密码状态核查**：已确认 `cracked_password` 字段为否，说明此前没有成功拿到密码，不应假设“已破解”。
- **业务标注核对**：已确认“余额很小”为是，但该标注与“能否打开钱包”无关，后续不应将两者混淆。
- **未尝试方向**：尚未进行任何涉及密码猜测或字典攻击的尝试（且受安全规则限制，我们也不会提供此类操作细节）。若未来要推进，应优先补充外部线索（如第 6 节所列），而非盲目重复已有分析。