BTC 钱包风险检测与恢复评估 #967

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币钱包（ID: 967），当前链上余额约 **90.60 BTC**，但**尚未获得明文密码**，且**未标记为“余额为0”**；目前处于“有资产、缺凭据”的待解锁状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1GiY8NckZKjqAKq2NjbQBEY91ErXdv8aWE`，文件 `wallet_90,59.dat`（81920 字节），格式为 `bitcoin_legacy_bdb`。
- **资产状态**：链上余额 **90.59783995 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额未被系统视为可忽略。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **时间线**：录入 2026-06-23，最后更新 2026-08-06；链上交易跨度 **4757 天**（约 13 年）。
- **交易统计**：转出 18 笔（最后 2013-03-12），转入 27 笔（最后 2025-11-29）；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份遗留的 `.dat` 文件开始。文件路径与命名（`MEGA-BONUS_wallet_90,59.dat`）暗示它可能来自某个“奖金/活动”钱包，且文件名中的 `90,59` 与当前余额高度吻合，说明这是一份**真实且未被清空**的钱包数据。

录入时我们做了三件事：一是确认文件格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），二是解析出主地址与余额，三是拉取该地址的链上交易摘要。结果显示：该钱包在 2013 年有过密集转出（18 笔），之后长期沉寂，直到 2025 年 11 月又收到一笔转入——说明这个地址**至今仍被外部关注或使用**。

目前我们停留在“已解析资产、未解锁文件”的阶段。密码字段明确为“否”，意味着我们尚未从文件中提取出可用的明文口令或密钥；后续工作应聚焦于“如何合法获得授权凭据”，而非继续盲目尝试。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **18 笔**，最后一笔发生在 **2013-03-12**。说明该钱包在 2013 年曾作为支出方使用过，之后不再转出。
- **转入（receive）**：共 **27 笔**，最后一笔发生在 **2025-11-29**。说明该地址在 2025 年底仍收到过资金，来源方未知。
- **近期动态**：近 30 天转入/转出均为 **0**，即当前处于静默状态。
- **未同步/未知**：转入方的具体身份、转出目的、以及 2013 年转出后为何长期闲置，均**无字段可推断**，标记为未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包**未被标记为“余额为0/可忽略”**（`余额很小=否`）。即系统认为这 90.6 BTC 是有效资产，值得继续跟进。
- **明文密码**：字段 `cracked_password/actual_password = 否`，表示**尚未获得明文密码或私钥**。所有关于“已解锁”的说法均不成立。
- **结论**：当前状态是“资产确认存在，但访问凭据缺失”，属于**待授权解锁**阶段，而非“已破解”或“空钱包”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包来源说明**：查找 `MEGA-BONUS` 相关的活动文档、邮件或客服记录，确认该钱包的创建背景与密码设置规则。
2. **检查 2025-11-29 转入方身份**：拉取该笔转入的交易哈希与对手地址，可能关联到仍在活跃的关联方。
3. **核对 2013 年转出记录**：分析 18 笔转出的对手地址，判断是否为内部归集或外部支付，有助于还原钱包用途。
4. **搜索文件名变体**：`wallet_90,59.dat` 中的逗号可能是区域设置（欧洲小数格式），尝试查找同批次其他钱包文件。
5. **调取钱包创建时间**：通过 BDB 文件内部元数据（如创建时间戳）缩小密码设置时间窗。
6. **寻找备份文件**：在原始路径 `/www/czb-wallet-common/...` 附近查找 `.dat` 的旧备份或日志文件。
7. **确认钱包是否曾托管于某平台**：路径含 `fake.czb.com`，建议核实该域名对应的历史业务方。
8. **补充“密码提示”类材料**：若存在任何密码找回邮件、工单记录，优先提供。

### 7. 已尝试方向回顾（避免重复投入）
- **文件解析**：已完成 BDB 格式识别与地址/余额提取，无需重复。
- **链上统计**：已拉取转入/转出笔数与时间跨度，方向明确。
- **密码状态判定**：已确认 `cracked_password=否`，说明**未走通“直接提取明文”路径**，后续不应再假设“密码已存在”。
- **未尝试方向**：尚未进行来源文档排查、对手地址分析、备份文件搜索——这些是下一步重点，避免在已确认无效的“纯文件内爆破”上继续投入。