BTC 钱包风险检测与恢复评估 #959

### 1. 一句话结论
这是一枚持有约 **22.77 BTC** 的 Legacy 格式比特币钱包（ID 959），链上活动显示“转入多、转出少”且近 30 天无动静，目前**尚未获得明文密码**，但资产仍在链上，具备继续合规取证的现实价值。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 959，名称 `MEGA-BONUS / wallet_22,77.dat`，主地址 `1JhM6tEfF6eCXn7f45a68fEjpHtjNECy5U`。
- **资产规模**：当前余额 **22.77303499 BTC**，业务标注“余额很小”为 **否**（即不适用小额放弃逻辑）。
- **格式与路径**：`bitcoin_legacy_bdb` 格式，文件大小 102,400 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_22,77.dat-2399334c8e3b/` 目录下。
- **录入与更新**：录入时间 2026-06-23 00:37:10，最近更新 2026-08-06 07:41:31，数据标注日期 2026-06-23 00:57:21。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已获得明文密码。
- **链上统计**：转出 25 笔、转入 30 笔；最后转出 2013-12-03，最后转入 2025-01-31；近 30 天转入/转出均为 0；交易跨度 4173 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS` 的 Legacy 钱包文件开始。文件大小 102,400 字节，属于典型的 BDB 结构老钱包。最初我们确认了它的主地址与链上余额，发现该地址在 2013 年有过密集转出记录，随后沉寂多年，直到 2025 年 1 月又出现一笔转入——这解释了为什么余额不是 0。

我们随后比对了钱包文件的录入时间与链上最后转入时间，确认该文件在 2026 年 6 月被纳入审查流程时，链上资产依然存在。在尝试访问钱包内容的过程中，我们始终没有触发“密码已知”的确认信号——也就是说，我们目前仍停留在“持有文件、但无法解锁内部密钥”的阶段。整个过程没有偏离合规路径，也没有对链上资产做任何移动。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 25 笔，最后一笔发生在 **2013-12-03**。此后十余年没有转出记录，说明该地址在早期有过一次集中支出行为，之后基本处于“只进不出”状态。
- **转入（receive）**：共 30 笔，最后一笔发生在 **2025-01-31**。说明该地址在 2025 年初仍收到过资金，这解释了当前余额的构成。
- **近期动态**：近 30 天转入与转出均为 0，当前处于静默状态。
- **未知项**：我们未同步每笔交易的金额与对手地址，因此无法判断 2013 年转出是“清仓”还是“部分转移”，也无法确认 2025 年转入的具体来源。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **22.77 BTC**，业务字段“余额很小”为 **否**，因此不适用“余额为 0/小额放弃”的简化处理流程。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**。我们仍在测试与验证阶段，没有可确认的解锁凭据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 调取该主地址在 2013-12-03 前后的完整交易明细（金额、对手地址），判断当时转出是否与钱包名称 `MEGA-BONUS` 的营销活动相关。
2. 获取 2025-01-31 那笔转入的来源地址与备注信息，这可能是钱包持有者主动唤醒资产的信号。
3. 补充钱包文件创建时间（如文件系统元数据），与链上首笔交易时间做交叉比对。
4. 检索钱包名称 `MEGA-BONUS` 在历史活动、邮件或客服工单中的出现记录，寻找密码提示线索。
5. 检查同一目录下是否有其他关联文件（如备份、日志、说明文档）。
6. 确认该钱包是否曾在多个设备或服务中导入过（如地址归属查询）。
7. 补充该地址在 2013 年之前的“零转入”历史，确认钱包的诞生时间点。
8. 若存在业务侧登记的手机号/邮箱，走合规找回流程（需用户授权）。

### 7. 已尝试方向回顾（避免重复投入）
- 已确认钱包文件格式与结构完整性（BDB 可读，文件大小正常）。
- 已核对链上余额与本地文件对应关系，排除“空钱包”误判。
- 已检查基础密码字段，未触发“已知密码”信号，因此**不应再重复尝试通用弱密码列表**。
- 已确认近 30 天无交易，排除“钱包正在被主动使用”的可能性，无需实时监控链上动态。
- 未对文件做破坏性修改，保留了后续合规取证的原始条件。