BTC 钱包风险检测与恢复评估 #1438

### 1. 一句话结论
这是一枚持有约 **99.99901640 BTC** 的 Legacy 格式比特币钱包（ID 1438），链上活动显示“早年转出 1 笔、近年转入 5 笔”，目前**尚未获得明文密码**，且**不适用“余额为0”的业务标注**，仍需围绕文件来源与交易对手方补充线索。

---

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件名为 `WALLET99.99BTC-1Gj2KiTy9SFtuFSJECmpePseYchhkU3gXQ.dat`，格式为 `bitcoin_legacy_bdb`，大小 98,304 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/fake/` 下。
- **地址与余额**：主地址 `1Gj2KiTy9SFtuFSJECmpePseYchhkU3gXQ`，链上余额 99.99901640 BTC，业务标注“余额很小”为**否**。
- **时间线**：录入时间 2026-06-23，最近更新 2026-09-03；数据标注日期为 2026-06-23。
- **交易统计（依据 `direction` 字段）**：
- 转出（send）：1 笔，最后发生在 **2013-12-10**。
- 转入（receive）：5 笔，最后发生在 **2025-11-25**。
- 近 30 天转入/转出均为 0。
- 交易时间跨度 4,368 天。
- **密码状态**：`cracked_password / actual_password` 字段为**否**，即目前无强证据表明已获得明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日进入我们的取证视野。当时它被存放在一个名为 `fake.czb.com` 的模拟数据集目录下，文件名直白地写着“MEGA-BONUS”和“99.99BTC”，这让我们第一反应是：它可能是一个历史演示包或测试样本，而非真实热钱包。

我们首先核对了文件格式——`bitcoin_legacy_bdb`，这是早期 Bitcoin Core 使用的 Berkeley DB 钱包结构，时间特征与文件内最早一笔交易（2013 年）吻合。接着我们拉取了链上交易摘要，发现一个有意思的错位：**转出记录停留在 2013 年，而转入记录却延续到 2025 年 11 月**。这说明该地址在沉寂多年后，近期仍有入账行为，并非完全废弃。

我们随后检查了业务标注，确认“余额很小（≤阈值）”为**否**，意味着系统并不认为这是一个低价值目标，不能走快速结案流程。同时，密码状态字段明确为“否”，说明我们尚未走到“验证成功”那一步——目前仍处于持有文件、但无法解锁的状态。

简单说，现在的进度是：**完成了文件属性确认、链上行为画像、业务标注复核**，但卡在“没有密码”这一核心环节上。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 2013-12-10。此后 12 年间再无转出记录。该笔转出的对手地址与金额未在本次数据中提供，暂记为**未知**。
- **转入（receive）**：共 5 笔，最后一笔发生在 2025-11-25。近 30 天无新增转入。转入来源地址与每笔金额未同步，暂记为**未知**。
- **净流向判断**：基于现有字段，只能确认“转出 1 次、转入 5 次”，无法计算净流量，也不推断任何意图。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**。即系统判定当前 99.99 BTC 余额**不满足**“≤阈值”的低价值条件，因此不能以“空钱包/无价值”为由关闭任务。
- **是否拿到明文密码**：`cracked_password / actual_password` 为**否**。这意味着我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前仍处于“持有加密文件、待解锁”阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **文件来源元数据**：该 `.dat` 文件最初由谁、在什么设备上创建？是否有备份路径或压缩包附带说明文档？
2. **2013 年转出交易的完整详情**：转去哪个地址、金额多少、当时找零地址是否仍属于本钱包？
3. **2025 年转入交易的对手方**：5 笔转入分别来自哪些地址？是否为交易所冷热钱包、矿池付款或旧债偿还？
4. **钱包内地址池**：Legacy BDB 文件可能包含多个派生地址，需导出该文件内所有地址列表，与链上交易逐一比对。
5. **文件名中的“MEGA-BONUS”线索**：该命名是否对应某个历史活动、空投或游戏奖励计划？可检索旧论坛/邮件归档。
6. **文件哈希比对**：将该文件哈希与公开的恶意软件样本库、测试套件库做交叉比对，确认是否属于已知公开样本。
7. **录入人/来源渠道**：查询该钱包在 2026-06-23 由哪个业务线、哪个工单号录入，是否有附带说明。
8. **时间戳异常分析**：文件系统时间戳（创建/修改时间）与链上交易时间是否矛盾，可辅助判断文件是否被篡改或拼接。

---

### 7. 已尝试方向回顾（避免重复投入）
- **业务标注复核**：已确认“余额很小”为否，排除低价值快速结案路径。
- **格式与版本识别**：已确认为 `bitcoin_legacy_bdb`，排除了 SegWit 或 Descriptor 钱包格式的干扰。
- **链上行为初筛**：已拉取转入/转出笔数与时间跨度，确认存在“早年转出、近年转入”的错位特征，但未深入分析对手方。
- **密码状态确认**：已核实 `cracked_password` 为否，后续不应再假设“密码已拿到”而跳过解锁验证环节。
- **未尝试**：尚未进行文件内地址池导出、对手方聚类分析、来源元数据追溯——这些是下一步的重点，而非重复跑已有流程。