BTC 钱包风险检测与恢复评估 #961

### 1. 一句话结论
钱包 961（MEGA-BONUS / wallet_2,295.dat）是一个 BTC 旧版格式钱包，当前链上余额为 0，业务标注“余额很小”成立；但截至数据更新日，我们**尚未获得该钱包的明文密码**，破解验证未成功。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 961，名称 MEGA-BONUS，文件 `wallet_2,295.dat`，格式 `bitcoin_legacy_bdb`（BTC 旧版 Berkeley DB 钱包）。
- **主地址**：`1KTaPfSVDp6E4JXr4duBpp3VwWS2YrqukF`，录入时间 2026-06-23，最后更新 2026-08-06。
- **文件信息**：大小 81,920 字节，路径指向 `fake.czb.com/BTC/fake/` 目录，属于测试/模拟环境数据集。
- **余额状态**：当前余额 `0.00000000` BTC，业务字段“余额很小(≤阈值)”标记为“是”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）2 笔，最后转出时间 2026-01-09；
- 转入（receive）5 笔，最后转入时间 2025-01-12；
- 近 30 天转入/转出均为 0 笔；
- 交易时间跨度 4,657 天（约 12.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，钱包 961 被录入系统。从路径和命名看，它来自一个标注为 `fake.czb.com` 的 BTC 测试集，文件名为 `MEGA-BONUS_wallet_2,295.dat`，像是批量导入的第 2,295 个样本。我们首先确认了文件格式为 `bitcoin_legacy_bdb`，即早期 Bitcoin Core 使用的 Berkeley DB 钱包，这类钱包的密钥结构相对传统。

随后我们核对了链上交易：该地址历史上一共收到 5 笔、转出 2 笔，最后一笔转出发生在 2026 年 1 月，之后地址归于沉寂。结合当前余额为 0，我们判断这是一个“已清空”的钱包——它可能曾经有过资金，但在今年年初被全部转走。

在尝试访问钱包内容时，我们遇到的是密码验证环节。截至目前，数据字段显示 `cracked_password = 否`，说明我们尚未通过任何方式确认明文密码。需要强调的是，我们从未假设“余额为 0 就等于密码已知”——这是两件独立的事。当前进度停留在“已识别格式、已梳理交易、但密码验证未通过”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 5 笔，最后一笔发生在 2025-01-12 19:31:33。说明该地址在 2025 年初仍接收过资金。
- **转出（send）**：共 2 笔，最后一笔发生在 2026-01-09 01:14:24。说明资金在 2026 年初被转出。
- **近期动态**：近 30 天转入、转出均为 0，地址已无活跃交易。
- **资金流向结论**：从时间顺序看，该钱包经历了“先收后支”的过程，最终余额归零。但具体每笔金额、对手地址、转出目标等明细，当前数据未提供，**无法进一步判断资金去向**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：成立。字段“余额很小(≤阈值)”= 是，且链上余额显示 `0.00000000`。这是业务层面的客观事实，不代表钱包“无价值”或“无需处理”。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，即目前没有已验证的明文密码、助记词或私钥。所有涉及密码的结论只能写“尚未获得”，不能写“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：提供 5 笔转入、2 笔转出的完整记录（金额、时间、对手地址、交易哈希），用于判断资金去向与钱包用途。
2. **查找同批次钱包**：检索 `fake.czb.com/BTC/fake/` 目录下其他 `wallet_*.dat` 文件，看是否存在相同密码或命名规律（仅作关联分析，不涉及破解）。
3. **确认钱包来源背景**：补充该钱包的业务归属（如活动名称、运营方、导入批次说明），判断是否为批量生成的测试钱包。
4. **获取钱包创建时间线索**：从文件元数据或相邻文件推断创建时间，辅助判断密码设置习惯。
5. **核对地址历史备注**：若系统内有该地址的备注、标签或关联订单，请一并提供。
6. **确认“MEGA-BONUS”活动上下文**：该名称疑似营销活动，若能提供活动规则或发放记录，可能解释钱包为何被清空。
7. **补充密码提示或重置渠道**：若钱包来自业务方，是否有密码找回/重置机制或备份口令。
8. **提供文件哈希与来源链**：确认该 `.dat` 文件是否被篡改或复制，排除文件损坏导致的验证失败。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包格式的干扰。
- **交易梳理**：已完成转入/转出笔数与时间统计，确认地址已清空、无近期活动。
- **密码验证**：已尝试访问钱包内容，但结果未通过（`cracked_password = 否`）。**注意**：我们未使用任何明文密码或助记词，也未执行任何字典/暴力破解流程——当前状态是“验证未通过”，而非“尝试过所有方法”。
- **余额判断**：已确认余额为 0，业务标注“余额很小”属实，但这不影响密码验证的必要性。

> 后续建议优先补充第 1、2、3 条线索，它们能最快帮助我们判断该钱包是否值得继续投入验证资源。