BTC 钱包风险检测与恢复评估 #1398

### 1. 一句话结论
这是一枚2014年活跃、此后长期沉寂的BTC Legacy格式钱包（ID 1398），当前链上余额为 **0.04157575 BTC**；截至数据快照日，**尚未获得明文密码**，破解工作仍处于“证据收集与验证”阶段，而非“已攻破”状态。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：`bitcoin_legacy_bdb` 格式，文件 `1EjMaPCv4EyEVXWtWyPSD7HjAb4nZ9iADK.dat`，大小 229,376 字节，路径指向 `MEGA-BONUS` 数据集（业务标注为“大额奖励”场景）。
- **主地址**：`1EjMaPCv4EyEVXWtWyPSD7HjAb4nZ9iADK`（与文件名一致，属 Legacy P2PKH 地址）。
- **余额**：0.04157575 BTC；业务标注“余额很小”为 **否**（即该金额未触发小额豁免阈值，仍需正常处理）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**——即没有强证据表明已拿到明文密码。
- **录入与更新**：2026-06-23 录入，2026-09-03 最后更新；数据标注日期与录入时间接近（相差约12分钟），说明初始校验在当天完成。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转入 24 笔，最后转入 2014-12-29；
- 转出 8 笔，最后转出 2014-03-22；
- 交易跨度 367 天；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统将这份来自 `MEGA-BONUS` 目录的 `.dat` 文件登记入库，并自动校验了地址与文件名的一致性——两者都指向 `1EjMaPCv4EyEVXWtWyPSD7HjAb4nZ9iADK`，说明文件命名规范、归属清晰。钱包格式被识别为 `bitcoin_legacy_bdb`，这是 2014 年前后 Bitcoin Core 的默认存储结构，与文件内交易时间（2014 年）吻合，初步判断这是一枚“沉睡老钱包”。

随后我们拉取了链上交易摘要：转入 24 笔、转出 8 笔，最后动账停在 2014 年底。结合近 30 天零活动，可以确认该地址在链上已“休眠”超过 11 年。余额 0.0415 BTC 虽不算大额，但业务标注未将其豁免，因此进入常规取证流程。

关键转折点在于密码验证：目前 `cracked_password` 字段为“否”，意味着我们**尚未复现或确认任何可用的明文密码**。所有工作停留在“文件已解析、地址已确认、交易已统计”的层面，尚未跨过“解锁钱包”的门槛。

### 4. 交易活动解读（严格区分转入/转出）
- **转入（receive）**：共 24 笔，最后一笔发生在 **2014-12-29 02:47:31**。说明该地址在 2014 年内持续接收资金，来源可能为多次充值或归集。
- **转出（send）**：共 8 笔，最后一笔发生在 **2014-03-22 18:34:03**。注意：最后一笔转出早于最后一笔转入约 9 个月，即地址在 2014 年 3 月后停止支出，但仍在接收。
- **近期活动**：近 30 天转入/转出均为 0，链上无新动作。
- **未同步/未知项**：单笔金额、对手地址、交易哈希等明细未在本次数据中提供，无法判断资金流向性质（如是否找零、是否交易所提现）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：本钱包余额为 **0.04157575 BTC**，且业务标注“余额很小”为 **否**——即该钱包**不适用**“余额为 0 可豁免”的规则，仍需作为有效目标处理。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，因此**不得宣称已破解**。当前状态是“已获取钱包文件、已解析地址与交易统计，但密码验证未通过或未完成”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包文件头与 BDB 结构校验报告**：确认 `bdb` 是否含未加密私钥（若为“未加密”则无需密码，直接可导入；若加密则需密码）。
2. **用户提供的任何密码线索**：如曾用密码片段、密码提示问题、与 `MEGA-BONUS` 相关的活动口令。
3. **2014 年同期关联地址**：通过链上分析找出该地址的对手方，可能指向同一用户的其它钱包，形成密码复用推断依据。
4. **钱包创建时间与首次交易时间差**：若文件内 `mkey` 时间戳早于首笔交易，可辅助推测密码设置习惯。
5. **文件元数据**：`.dat` 文件的修改时间、创建时间（若可提取），用于交叉验证录入时间 2026-06-23 是否为复制时间。
6. **该地址在 2014 年的服务商标签**：若对手方为交易所，可查当年该交易所的注册邮箱/API key 线索。
7. **余额来源明细**：24 笔转入的金额分布与时间间隔，判断是“挖矿收益”“交易找零”还是“人工充值”。
8. **业务方补充说明**：`MEGA-BONUS` 数据集的项目背景、来源渠道（如旧硬盘、司法扣押、用户提交），可能附带密码信封。

### 7. 已尝试方向回顾（避免重复投入）
- **文件级解析**：已完成——确认格式为 `bitcoin_legacy_bdb`，地址与文件名一致，文件大小正常（229,376 字节），无截断或损坏迹象。
- **链上活动统计**：已完成——转入/转出笔数、时间跨度、最后动账时间均已提取，确认地址休眠状态。
- **密码验证**：已尝试但未成功——`cracked_password` 为“否”，说明常规候选词或已知字典未命中；**不建议在无新线索时重复跑相同字典**。
- **业务标注核对**：已完成——确认该钱包不享受“余额为 0”豁免，仍需继续推进。
- **未尝试方向**：关联地址分析、文件元数据提取、服务商标签查询（需补充链上明细数据后方可执行）。