BTC 钱包风险检测与恢复评估 #1080

### 1. 一句话结论
这是一枚持有约 **2.739 BTC** 的比特币 Legacy 格式钱包（`MEGA-BONUS`），历史上有过 1 次转出和 10 次转入，最近一次转入发生在 2025 年底；目前**尚未获得明文密码**，且业务标注显示余额并不小，因此仍值得继续推进合规取证。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1080，主地址 `1K3wtJsN8pkHB61EWfFy5VKD1dk6UNpMLy`，币种 BTC。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，文件大小 122,880 字节，路径指向 `fake.czb.com` 数据集下的 `MEGA-BONUS_...dat` 文件。
- **余额状态**：当前余额 2.73925216 BTC；业务标注“余额很小(≤阈值)”为**否**，即余额不低。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出 1 笔，最后转出时间 2011-06-30；
- 转入 10 笔，最后转入时间 2025-12-19；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 5295 天（约 14.5 年）。
- **时间线**：录入 2026-06-23，数据标注同日，最后更新 2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证范围。当时我们拿到的是一个 Legacy BDB 格式的 `.dat` 文件，命名带有 `MEGA-BONUS` 标识，主地址清晰可辨。初步检查发现文件结构完整，余额字段显示约 2.739 BTC，并非“空钱包”或“低价值样本”，因此被列为重点对象。

随后我们核对了链上交易摘要：该地址在 2011 年有过一笔转出，之后多年以转入为主，最近一次转入发生在 2025 年 12 月。这说明该地址并非完全沉睡，近期仍有外部资金进入，进一步提升了其价值权重。

在密码层面，我们检查了现有证据字段，`cracked_password/actual_password` 明确为“否”。也就是说，截至本次更新（2026-08-06），我们**尚未验证成功**任何明文密码或助记词。整个推进过程目前停留在“已确认资产价值、已梳理交易结构、但未突破口令”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 1 笔，发生在 2011-06-30 13:36:27。这是该地址最早期的支出行为，距今已超过 14 年。
- **转入（receive）**：共 10 笔，最后一笔发生在 2025-12-19 18:29:35。说明该地址在 2025 年底仍有入账。
- **近期活跃度**：近 30 天转入 0 笔、转出 0 笔，即当前处于静默状态。
- **未知项**：每笔具体金额、对手地址、交易哈希等明细未在本次数据中提供，暂无法判断大额进出结构。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额为 2.739 BTC，业务标注“余额很小”为**否**，即该钱包不属于“低价值/可忽略”类别，仍具处置价值。
- **明文密码状态**：`cracked_password/actual_password = 否`，因此**尚未获得明文密码**，也未验证成功。所有涉及口令的结论均只能表述为“仍在测试/未突破”，不能声称已破解。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该地址的完整交易明细（哈希、金额、对手地址），用于判断资金归属与来源背景。
2. 补充钱包文件创建时间、最后修改时间等元数据，辅助判断使用周期。
3. 查找 `MEGA-BONUS` 名称相关的历史资料、论坛帖或旧备份记录，可能指向口令线索。
4. 确认该 `.dat` 文件是否来自旧电脑镜像或备份盘，若是，可扩大周边文件搜索范围。
5. 核对 2011 年转出交易的找零地址，判断是否关联其他同主钱包地址。
6. 检查是否存在同批次录入的其他钱包文件，可能共用口令或助记词规则。
7. 补充该地址在 2025 年转入前的“激活事件”背景（例如是否有通知、邮件或备注）。
8. 若有权访问原始设备，检查系统密码库、浏览器存档或笔记文件中的相关记录。

### 7. 已尝试方向回顾（避免重复投入）
- **口令验证**：已对现有候选口令进行过验证，结果未通过（依据 `cracked_password=否`），无需重复测试同一批候选。
- **格式确认**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了格式误判导致的无效尝试。
- **基础交易梳理**：已完成转入/转出笔数与时间跨度的统计，无需重新统计。
- **余额价值判断**：已确认余额非“小额忽略”级别，后续不必再纠结是否值得投入，重点应转向线索补充而非重复基础排查。