BTC 钱包风险检测与恢复评估 #1077

### 1. 一句话结论
钱包 1077（BTC，主地址 1KDBxLSxoyLSBdAkhxcq8aFGu6uJu3YjtT）目前持有 130.29 BTC 余额，但尚未获得明文密码或助记词；链上活动极少（仅各 1 笔转入/转出），且时间集中在 2013-2014 年，属于典型的“沉睡老钱包”特征。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1077，币种 BTC，名称 `MEGA-BONUS / wallet_146.dat`，格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 钱包）。
- **文件信息**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的 `wallet_146.dat`，文件大小 172,032 字节，录入时间 2026-06-23，最近更新 2026-08-06。
- **余额状态**：当前余额 130.29101593 BTC；业务标注“余额很小(≤阈值)”为 **否**，说明该余额在业务上被视为有意义的资产。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转入 1 笔，最后转入时间 2013-10-19 17:13:39；
- 转出 1 笔，最后转出时间 2014-08-03 05:30:55；
- 交易时间跨度 287 天；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入审查清单，当时系统记录下它的文件路径和基础属性。从文件格式 `bitcoin_legacy_bdb` 来看，它属于 Bitcoin Core 早期的钱包数据库格式，这类钱包通常创建于 2010-2015 年之间——链上数据也印证了这一点：最后一笔链上活动停留在 2014 年 8 月。

我们首先核对了钱包的“身份信息”：名称、路径、大小都完整，没有发现文件损坏或截断的迹象。接着我们检查了链上交易历史，发现这个地址非常“安静”——只有一次转入和一次转出，之后整整 287 天内再无动静，直到 2014 年彻底休眠。

在尝试恢复访问的过程中，我们重点排查了“是否已有现成密码”这一项。根据事实字段，目前没有任何强证据（如 cracked_password 标记）表明密码已被还原。因此，我们当前处于“已确认资产存在、但尚未解锁”的阶段，而不是“已破解成功”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，发生在 2013-10-19。金额未在摘要中单独列出，需补充交易明细字段才能确认具体数额。
- **转出（send）**：共 1 笔，发生在 2014-08-03。同样，具体转出金额未知，需查 `wallet_transactions` 的金额字段。
- **近期活动**：近 30 天转入、转出均为 0，说明该钱包自 2014 年后没有任何链上动作。
- **未同步信息**：转入/转出的具体地址、金额、手续费等字段缺失，暂时无法判断这笔转出是“部分支付”还是“清空后又有转入”，需补充交易哈希和明细。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 130.29 BTC，业务标注“余额很小”为 **否**，意味着这不是一个被业务方判定为“零价值/可忽略”的钱包，而是有实际保全意义的资产。
- **明文密码状态**：字段明确显示“已知密码存在”为 **否**。因此，我们 **尚未获得明文密码或助记词**，所有关于“已解锁”的说法均不成立。当前仍处于密码未知、需要进一步取证或合规流程的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：拉取该地址完整的链上交易记录（含金额、对手地址、时间戳），确认 2013 年转入和 2014 年转出的具体数额，判断余额是否由多笔未记录交易构成。
2. **核查钱包文件完整性**：确认 `wallet_146.dat` 是否有备份或历史版本，老版本可能未加密或使用弱加密。
3. **检索关联文件**：在同一目录 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下查找是否有同名钱包的 `.txt`、`.log` 或说明文档，可能包含密码提示。
4. **检查钱包名称线索**：`MEGA-BONUS` 可能是活动名称或内部代号，排查业务系统中是否有对应活动的登记信息（如活动时间、负责人）。
5. **核对录入时间与数据标注时间**：录入时间 2026-06-23 00:39:12 与数据标注日期 2026-06-23 00:57:27 仅差 18 分钟，确认当时是否做过批量导入或特殊标记。
6. **调取钱包创建时间**：通过文件元数据或 BDB 内部结构判断钱包首次生成时间，缩小密码设置时间范围（仅用于合规取证，不涉及攻击）。
7. **查询同源钱包**：检查是否有其他钱包文件与 `wallet_146.dat` 共享相同路径前缀或命名规律，可能存在同一批创建的钱包。
8. **补充“已知密码”判定依据**：如果后续有新的密码候选，需要通过业务系统重新标记 `cracked_password` 字段，而不是仅凭口头确认。

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动分析**：已完成，确认该钱包交易极少且已休眠，排除了“高频使用中钱包”的可能。
- **文件基础检查**：已完成，确认文件存在、大小正常、格式为 legacy BDB，未发现文件损坏。
- **密码状态核查**：已完成，确认当前无任何强证据表明密码已被还原，后续不应假设“密码已知”而跳过验证步骤。
- **近期活动监控**：已完成，近 30 天无任何转入转出，说明该钱包没有自动归集或热钱包联动，无需再重复监控短期动态。