BTC 钱包风险检测与恢复评估 #1385

### 1. 一句话结论
该BTC钱包（ID: 1385）当前链上余额为 **14.00004656 BTC**，属于“有余额且非小额”的待处理钱包；但截至目前，**尚未获得任何明文密码或助记词**（已知密码存在=否），所有工作仍停留在“取证与验证准备”阶段，并未进入“已破解”状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1JHwt6ArhujJmgDKPtSmGkMmSAPyAhVptL`，版本为 `bitcoin_legacy_bdb`（老版Bitcoin Core格式），钱包文件为 `1JHwt6ArhujJmgDKPtSmGkMmSAPyAhVptL.dat`。
- **文件信息**：大小 **253,952 字节**，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_.../` 下，说明该文件已被纳入“复核（review）”流程。
- **余额状态**：链上余额 **14.00004656 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即该钱包不属于“低价值/可忽略”类别。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即没有任何强证据表明密码已被还原。
- **录入与更新时间**：录入于 2026-06-23，最近一次更新为 2026-09-03，说明该钱包已进入持续跟踪流程约两个多月。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日凌晨被录入系统的。当时它被标记为“MEGA-BONUS”系列，放在 `review` 目录下，意味着它不是普通待办，而是需要人工复核的样本。

我们首先确认了文件格式：这是一个 `bitcoin_legacy_bdb` 钱包，也就是 Bitcoin Core 早期版本使用的 Berkeley DB 格式。这类文件通常包含密钥材料与地址元数据，但能否读取取决于是否加密。

接着我们核对了链上数据：该地址从 2025 年 1 月到 5 月之间有过活跃的转入与转出记录，但近 30 天（截至数据标注日）没有任何动静。这说明它可能是一个“历史使用、近期休眠”的钱包。

最关键的一步是检查“是否已有已知密码”。系统字段明确显示为“否”。这意味着我们目前**没有**任何可用的明文密码、助记词或私钥片段。所有关于“能不能打开”的讨论，目前都只能停留在“待验证”层面，而不是“已成功”。

简单说：**我们完成了钱包的“身份确认”和“静态体检”，但尚未跨过“加密门槛”。**

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **33 笔**，最后一笔发生在 **2025-01-28 11:11:55**。说明该地址在 2025 年 1 月底之前曾多次接收资金。
- **转出（send）**：共 **19 笔**，最后一笔发生在 **2025-05-17 20:49:18**。说明在最后一次转入之后，该地址仍继续向外支付过资金。
- **活跃跨度**：从第一笔到最后一笔交易，时间跨度为 **4471 天**（约 12.2 年），属于长期使用的地址。
- **近期动态**：近 30 天转入与转出均为 **0**，即当前处于完全静默状态。
- **结论**：该地址历史上“收多付少”（33 收 / 19 付），且最后动作是“转出”。但请注意：**我们只依据 direction 字段统计，不推测任何一笔交易的具体意图或对手方。**

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **关于余额**：该钱包余额为 **14.00004656 BTC**，业务标注“余额很小（≤阈值）”为 **否**。也就是说，它不属于“因为没钱所以不值得处理”的情况，而是**有实际价值、需要认真对待**的钱包。
- **关于密码**：字段 `cracked_password/actual_password` = **否**。这意味着：
- 我们**没有**拿到明文密码；
- 我们**没有**验证成功任何候选密码；
- 当前状态是“仍在测试/待验证”，而非“已破解”。
- **重要提醒**：即使未来某天余额变为 0，也不代表“密码已破解”——那可能只是资金被转走。是否拿到密码，只看 `cracked_password` 字段是否为“是”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包创建时间或首次交易时间**：用于判断密码设置年代，缩小可能的口令风格范围。
2. **查找是否有同名/同路径的其他备份文件**：例如 `.dat.bak`、`.dat.old`，可能包含未加密版本。
3. **调取该地址关联的邮箱/用户名线索**：若钱包曾用于某平台充值，可能绑定常用昵称。
4. **获取该钱包的“密码提示”字段（若有）**：BDB 格式可能残留 hint 信息。
5. **检查同一批 `MEGA-BONUS` 系列其他钱包的状态**：若同批有已成功案例，可参考其共性特征。
6. **补充 2025-05-17 最后一笔转出后的地址流向**：确认是否转入交易所，以辅助身份画像。
7. **提供该钱包文件的历史哈希值或版本指纹**：用于确认是否有已知的公开样本比对。
8. **补充录入人员的备注信息**：若当初录入时有任何人工观察，可能包含关键上下文。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **链上活跃度分析**：已完成转入/转出统计与时间跨度计算，无需再次拉取全量交易。
- **密码已知性检查**：已确认 `cracked_password=否`，不要再假设“可能已经有人破解过”。
- **余额价值判断**：已确认非小额钱包，不需要再走“低价值忽略”流程。
- **近期动态确认**：近 30 天无交易，说明该钱包当前无自动活动，不必反复刷新链上状态。

> 下一步应聚焦于“补充外围线索”而非“重复分析已有文件”。在没有新信息前，不建议对该 `.dat` 文件再次进行重复的格式解析或交易统计。