LTC 钱包风险检测与恢复评估 #1862

### 1. 一句话结论
这是一枚莱特币（LTC）钱包，当前链上余额约 **326.09 LTC**，钱包文件已获取但**尚未获得明文密码**；链上活动显示它在 2017 年有过转出、2025 年有过转入，近 30 天无动静，整体处于“已定位、待解锁”状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1862，名称 `MEGA-BONUS`，主地址 `LX91hxPEM43pfwBpNbtMFEtuSiqMGsxMDP`，币种 LTC。
- **文件信息**：格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），文件大小 1,228,800 字节，路径指向 `fake.czb.com/LTC/unknown/` 目录，录入时间为 2026-06-23。
- **余额状态**：链上余额 326.09447731 LTC；业务标注“余额很小”为**否**，即该余额**不视为可忽略的小额**。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**——即目前**没有**强证据表明已拿到明文密码。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）5 笔，最后转出 2017-12-23；
- 转入（receive）22 笔，最后转入 2025-09-24；
- 近 30 天转入/转出均为 0；
- 交易跨度 4496 天（约 12.3 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情的开端是我们在整理 `unknown` 目录时，发现了一个名为 `MEGA-BONUS` 的 LTC 钱包文件。它的格式是 `bitcoin_legacy_bdb`，属于较早期的钱包类型，文件大小约 1.2 MB，结构完整，不是空壳。

我们先把钱包文件与链上地址 `LX91...` 做了关联，确认它对应着真实的链上余额——326 LTC 左右，不是“零钱”级别。接着我们拉取了该地址的交易历史：转入 22 笔、转出 5 笔，时间跨度从 2017 年延伸到 2025 年，说明这个地址在多年间被间歇使用过，最近一次转入发生在 2025 年 9 月。

在解锁层面，我们目前停留在“已取得文件、正在尝试访问”的阶段。关键字段显示，**尚未确认任何明文密码**，也没有任何“验证成功”的记录。换句话说，我们手里有一把锁着的保险箱，知道里面有多少东西，但钥匙还没配出来。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 22 笔，最后一笔发生在 **2025-09-24 03:01:50**。近 30 天转入为 0，说明近期没有新的资金进入。
- **转出（send）**：共 5 笔，最后一笔发生在 **2017-12-23 16:49:14**。近 30 天转出为 0，且自 2017 年底之后就没有再转出过。
- **净观察**：转入笔数远多于转出笔数，且最后一次活动是“转入”，最后一次“转出”停留在 2017 年。**注意**：这里只陈述笔数与时间，不推断具体金额流向；单笔金额明细未同步，暂无法判断净流入/流出量。
- **未同步项**：每笔交易的金额、对手地址、手续费等明细字段当前缺失，无法做更细的收支分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即系统**不认为** 326 LTC 是小额或可放弃的余额。这与“余额为 0 即放弃”的情形完全不同——此钱包有实际价值，值得继续投入。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为否，意味着我们**尚未获得**任何可用的明文密码、助记词或私钥。所有关于“已解锁”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **找回与 `MEGA-BONUS` 名称相关的历史备注/标签**——钱包名可能来自某个活动或批次，能缩小密码线索范围。
2. **补充 2017 年前后的导入来源**：该钱包创建于何时、由哪台设备/哪个平台导出，是否有备份习惯。
3. **调取 22 笔转入的完整交易明细**（金额、时间、对手地址），判断资金来源是否指向某个已知交易所或矿池。
4. **核查 2025-09-24 最后一笔转入的上下文**——是谁在近期向这个老地址打款？可能与找回密码线索直接相关。
5. **寻找钱包文件同目录下的其他文件**（如同名 `.txt`、`.csv`、说明文档），可能有密码提示。
6. **确认钱包是否使用旧版 BDB 加密格式**，该格式是否有已知的兼容性提示或历史文档可参考。
7. **询问业务方**：该钱包在业务系统中的“来源渠道”字段（如活动名、客户名）是否可查。
8. **补充钱包文件哈希与创建时间元数据**，用于交叉比对是否有其他副本存在。

### 7. 已尝试方向回顾（避免重复投入）
- **基础字典/常见密码组合测试**：已做过一轮常规尝试，未命中，且没有触发“验证成功”标记。
- **钱包文件完整性检查**：确认文件可被钱包工具正常识别，格式无误，排除“文件损坏导致无法解锁”的可能。
- **链上数据关联**：已完成地址与文件的绑定，确认余额真实存在，排除了“空钱包”误判。
- **近期活动排查**：已确认近 30 天无任何转入/转出，排除“钱包正在被他人使用”的活跃状态。
- **未尝试方向**：尚未获得任何与钱包主人身份相关的线索（如邮箱、用户名、历史工单），也未拿到交易对手地址列表——这些是下一步最有价值的突破口。