BTC 钱包风险检测与恢复评估 #1379

### 1. 一句话结论
这是一枚持有约 3.5 万 BTC 的 Legacy 格式钱包（ID 1379），链上呈现“早年多笔转出、近年持续小额转入”的典型“沉睡后被动收款”特征；目前我们**尚未获得明文密码**，且业务标注显示其**余额并不小**，因此当前核心任务仍是围绕“合法授权前提下的密码恢复/访问方案”继续取证。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：BTC 钱包，版本/格式为 `bitcoin_legacy_bdb`，文件大小 839,680 字节，录入时间 2026-06-23，最后更新 2026-09-03。
- **命名线索**：文件名含“MEGA-BONUS_1 - WALLET BTC 31000”及一串疑似地址的字符（`WALLET1BTC3100012ib7dApVFvg82TXKycWBNpN8kFyiAN1dr.dat`），主地址为 `1H7U1MLAAjB4opDyBSzF6tEa76FF1nSwZF`。
- **余额状态**：当前余额 35,000.07882280 BTC；业务标注“余额很小(≤阈值)”为**否**，即该钱包不属于“低价值/可忽略”类别。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即不存在“已知明文密码”的强证据。
- **交易统计（来自 `wallet_transactions.direction`）**：转出 3 笔，转入 54 笔；最后转出 2010-10-02，最后转入 2026-08-09；近 30 天转出 0 笔、转入 1 笔；交易跨度 5911 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份标注为“MEGA-BONUS”的 Legacy 钱包文件入手。首先确认了它的格式与版本（`bitcoin_legacy_bdb`），并核对了主地址与文件名中出现的地址字符串是否一致——这一步是为了排除文件被改名或错配的可能。随后我们拉取了链上交易摘要，发现一个非常明显的“时间断层”：**2010 年 10 月 2 日之后，该地址再也没有转出记录**，但转入记录却持续到 2026 年 8 月。这说明该钱包很可能在 2010 年经历了一轮“清空或部分转出”后，被长期闲置，而后续的 54 笔转入多为外部付款或粉尘类收入。基于“余额不小 + 无已知密码”这两个事实，我们将工作重心放在“文件完整性验证”与“密码状态确认”上，而非交易方向推测——因为目前没有任何字段能证明某笔转入是“用户主动收款”还是“被动接收”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 3 笔，最后一笔发生在 **2010-10-02 06:50:04**。近 30 天转出为 0。说明该钱包自 2010 年起基本不再主动支付。
- **转入（receive）**：共 54 笔，最后一笔发生在 **2026-08-09 09:20:03**。近 30 天转入 1 笔。说明近期仍有外部资金进入，但无法仅凭 `direction` 判断是“本人充值”还是“他人付款”。
- **未同步/未知**：我们**没有**任何字段能说明这 54 笔转入的来源地址身份、金额分布或用途标签；也没有字段能证明 3 笔转出的接收方是谁。因此，任何关于“资金来自矿池/交易所/某个人”的说法均属臆测，暂不采信。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即系统并未将本钱包标记为“低价值/余额可忽略”。这意味着它不在“放弃恢复”的名单里，仍值得投入资源。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，即目前**没有**任何已验证的明文密码或助记词。所有关于“已破解”的说法均不成立，我们仍处于“未获得访问权”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包创建时的备注/标签来源**：文件名中的“MEGA-BONUS”与“31000”极可能是业务备注，建议回溯该钱包录入时的工单或导入记录。
2. **调取 2010 年 10 月 2 日前后各 7 天的链上上下文**：确认那 3 笔转出是否与某次“清仓/迁移”相关，有助于判断该地址是否只是“旧壳”。
3. **核对主地址与文件名内嵌地址是否完全一致**：若不一致，说明文件可能被复制或改名，需重新匹配。
4. **补充钱包文件的校验和/哈希记录**：确认当前文件与录入时是否一致，排除损坏或篡改。
5. **收集 54 笔转入的“时间+金额”分布表**：用于判断是否存在规律性（如每笔等额、固定间隔），但仅作参考，不作定性。
6. **查询该地址在 2010 年之前的首笔交易时间**：可帮助估算钱包生成时间，缩小密码设置习惯的推测范围。
7. **寻找是否有同批次的“MEGA-BONUS”系列钱包**：若存在系列文件，可对比命名规则与结构，但严禁跨钱包尝试密码。
8. **确认该钱包是否曾导出过私钥或使用过任何托管服务**：若有导出记录，则恢复路径可能不在“破解”而在“找回备份”。

### 7. 已尝试方向回顾（避免重复投入）
- **格式与版本确认**：已完成，确认为 `bitcoin_legacy_bdb`，排除了“格式不匹配”的干扰。
- **文件名与地址一致性初检**：已做初步比对，但尚未形成正式结论，需补充哈希校验。
- **交易方向统计**：已拉取 `direction` 字段，确认转出极少、转入居多，但未做地址聚类分析。
- **密码状态核查**：已确认无已知明文密码，因此**不应再重复尝试任何“猜测密码是否已知”的流程**，而应转向“寻找备份/找回授权”的合规路径。
- **未尝试方向**：尚未对 54 笔转入做时间序列分析，也未对 2010 年转出做接收方画像——这两块是下一步的增量信息点。