BTC 钱包风险检测与恢复评估 #1110

### 1. 一句话结论

这是一个**余额极低（0.00100081 BTC）的 Legacy 格式 BTC 钱包**，目前**尚未获得明文密码**，链上活动以 9 笔历史转入为主、无任何转出记录，整体更像一个“只进不出”的休眠地址，而非活跃资金池。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：ID 1110，主地址 `1KDUcZh5Z6H1of4Pwoy5ojJtkQxcQBHhnH`，对应文件 `1KDUcZh5Z6H1of4Pwoy5ojJtkQxcQBHhnH.dat`。
- **格式与路径**：`bitcoin_legacy_bdb`（老版 Berkeley DB 格式），文件大小 81920 字节，位于 `.../MEGA-BONUS_.../` 目录下，命名含 `MEGA-BONUS` 业务标签。
- **余额状态**：当前余额 0.00100081 BTC，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即**没有拿到明文密码**。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转入 9 笔，转出 0 笔；
- 最后转入时间：2025-01-28 15:26:42；
- 最后转出时间：未知；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 5241 天（约 14.3 年）。
- **时间线**：录入 2026-06-23，数据标注同日，最后更新 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初进入视野，是因为它被归入一个名为 `MEGA-BONUS` 的批量评审目录。我们拿到的是一个 80KB 左右的 `.dat` 文件——这是 Bitcoin Core 老版本（Legacy+BDB）的典型钱包文件，体积不大，说明里面存放的密钥或历史记录并不多。

第一步，我们先做了“身份确认”：通过文件内地址与链上地址比对，锁定了主地址 `1KDU...HnH`，并确认文件与地址一一对应，没有张冠李戴。

第二步，我们检查了“家底”：链上同步结果显示，这个地址历史上共收到 9 笔转入，最后一笔停在 2025 年 1 月，之后再无动静。转出记录为 0——也就是说，**从链上看，这个钱包从来没有花过钱**。

第三步，我们评估了“破解价值”：当前余额仅 0.001 BTC 出头，业务系统已自动打上“余额很小”的标签。同时，密码验证字段显示 `否`，意味着我们手里**并没有**现成的密码或私钥可用。

所以现在的局面是：一个“年龄”很大（跨度超 14 年）、但“积蓄”很少、且从未转出过的 Legacy 钱包。它更像一个被遗忘的“零钱罐”，而不是一个需要紧急抢救的金库。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 9 笔，最后一笔发生在 2025-01-28 15:26:42。近 30 天无新增转入。
- **转出（send）**：共 0 笔。最后转出时间：**未知**（因无转出记录，该字段为空）。
- **活跃度判断**：交易时间跨度虽长达 5241 天，但转出为 0、近 30 天双向为 0，属于**历史性收款后长期休眠**的地址。
- **资金流向结论**：只进不出，无资金外流迹象。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：系统标注“余额很小（≤阈值）”，指的是当前 BTC 余额 0.00100081 低于业务设定的关注线，**不代表钱包为空或已清零**。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码/助记词/私钥**，所有关于“已破解”的说法均不成立。
- **结论**：目前处于“有文件、有地址、有少量币，但无密码”的阶段，尚未突破最后一步。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **寻找密码线索来源**：检查 `MEGA-BONUS` 目录下是否有同名备注、CSV、TXT 或邮件导出记录，可能包含密码提示或历史口令。
2. **核对 9 笔转入的来源地址**：通过完整交易哈希与对手地址，反查是否有交易所、矿池或熟人打款记录，可能关联到钱包主人的身份或常用密码习惯。
3. **检查文件元数据**：`.dat` 文件的创建时间、修改时间、所在目录的打包时间（如 zip 注释），可能指向某个活动周期或营销活动批次。
4. **确认“MEGA-BONUS”业务背景**：该标签暗示可能与某次空投/奖励活动有关，查找活动规则或客服记录，看是否曾批量生成钱包并设置统一初始密码。
5. **调取 2026-06-23 录入前后的操作日志**：看是谁、通过什么渠道上传了该文件，上传者可能掌握密码线索。
6. **补充该地址的完整交易列表（含金额与时间戳）**：当前只有方向统计，缺少每笔金额，无法判断是否曾有大额进入后转出至其他地址（需排除“同地址内部整理”的情况）。
7. **检查是否有同批次钱包文件**：若 `MEGA-BONUS` 目录下还有其他 `.dat`，对比它们的文件大小与结构，若高度相似，可能共用一套生成规则。
8. **尝试合规找回渠道**：若钱包主人可联系，优先走“找回密码/重置”流程，而非技术破解。

---

### 7. 已尝试方向回顾（避免重复投入）

- **链上交易分析**：已完成，确认 9 进 0 出，近 30 天无活动——**无需再重复扫描该地址的交易历史**。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，即老版 Bitcoin Core 格式——**不必再猜测是否为其他钱包类型**。
- **余额价值评估**：已确认余额极低，业务侧已打标——**不建议投入高成本算力或长时间暴力破解**。
- **密码状态确认**：已验证 `cracked_password` 字段为否——**当前不应向用户或上级声称“已破解”或“即将破解”**。
- **下一步建议**：将精力集中在“线索收集”（第 6 节）而非“重复技术尝试”，尤其是寻找 `MEGA-BONUS` 活动的批量生成规则或上传者背景，才是性价比最高的路径。