BTC 钱包风险检测与恢复评估 #1012

### 1. 一句话结论

该钱包（ID: 1012）是一枚持有 **18.72706894 BTC** 的比特币 Legacy 格式钱包（BDB），当前**尚未获得明文密码**，且业务层面**未被标记为“余额很小”**，因此仍属于高价值目标；链上活动显示其历史上曾活跃转出，但近 30 天完全静默。

### 2. 我们掌握的事实（证据链）

- **资产规模**：余额 18.72706894 BTC，业务标注“余额很小(≤阈值)”为 **否**，说明该钱包被认定为高价值。
- **钱包格式**：`bitcoin_legacy_bdb`，文件大小 172,032 字节，属于早期 Bitcoin Core 钱包格式。
- **命名线索**：钱包名称为 `MEGA-BONUS / WALLET18.72BTC-1LSmeqqYoyGAxUwLxmkvuDU6LGM2FGf6AS.dat`，文件名直接包含余额与主地址。
- **主地址**：`1LSmeqqYoyGAxUwLxmkvuDU6LGM2FGf6AS`（以 1 开头，确认为 Legacy P2PKH 地址）。
- **时间戳**：录入时间 2026-06-23，数据标注日期为同日；最后更新 2026-08-06。
- **链上统计**（来自 `wallet_transactions.direction`）：
- 转出 35 笔，最后转出 2015-01-19；
- 转入 15 笔，最后转入 2025-01-28；
- 近 30 天转入/转出均为 0；
- 交易跨度 3,673 天（约 10 年）。
- **密码状态**：`cracked_password/actual_password` = **否**，即目前没有明文密码证据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

我们从一份名为“MEGA-BONUS”的 `.dat` 文件入手。文件路径显示它存放在一个名为 `fake.czb.com` 的数据集目录下，但文件本身标注为 `real`，说明它被归入真实样本而非测试样本。

首先，我们确认了文件格式为 `bitcoin_legacy_bdb`，这是 2015 年前后 Bitcoin Core 的默认存储格式。文件名中直接写有“18.72BTC”和主地址，这通常意味着该文件是某个活动或营销活动（“MEGA-BONUS”）的奖励钱包，且创建者为了方便识别，把余额和地址写进了文件名。

接着，我们核对了链上记录。数据显示该钱包在 2015 年 1 月 19 日之前有 35 笔转出，之后转入记录一直延续到 2025 年 1 月 28 日。这说明钱包在 2015 年后基本只进不出，可能被用作长期存储或冷钱包。近 30 天无任何动静，符合“沉睡大户”的特征。

最后，我们检查了密码破解状态。目前没有任何字段表明已获得明文密码，因此我们只能确认“文件在手、余额可查”，但无法动用其中资产。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 35 笔，最后一笔发生在 **2015-01-19**。此后 10 年再无转出记录。
- **转入（receive）**：共 15 笔，最后一笔发生在 **2025-01-28**。说明该地址在 2025 年初仍有入账。
- **近 30 天活动**：转入 0 笔，转出 0 笔，完全静默。
- **解读**：该钱包在 2015 年前是一台“活跃支付器”，之后转为“只收不付”的存储地址。2025 年的最后一笔转入可能意味着原主人仍掌握私钥并主动收款，也可能只是他人向该地址打款（无法仅凭方向字段判断意图）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该钱包余额为 18.72706894 BTC，业务标注为 **否**，即不认为余额小，属于高优先级目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，意味着我们目前**没有**任何明文密码、助记词或私钥证据。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **获取钱包创建时间或首次交易时间**：用于推测密码设置习惯（如是否使用当年常见口令）。
2. **查找“MEGA-BONUS”活动背景**：该名称疑似营销活动，若能找到 2014-2015 年的活动规则，可能包含密码生成逻辑。
3. **调取 2015 年 1 月前后的转出对手地址**：这些地址可能关联到钱包主人的其他身份信息。
4. **检查 2025-01-28 最后一笔转入的来源地址**：这笔近期交易可能由主人主动发起，来源地址或许关联其仍在使用的钱包。
5. **收集该 `.dat` 文件的元数据**（如文件系统创建时间、修改时间），辅助判断钱包生成时间。
6. **比对同一数据集目录下其他钱包文件**：若存在同系列命名（如 MEGA-BONUS / WALLETxxBTC），可能共享密码规则。
7. **补充钱包内地址列表（地址簿）**：BDB 格式可能存有收款人标签，能提供社交线索。
8. **获取该地址在 2015 年前的完整交易对手列表**：用于关联早期论坛、交易所账号等公开信息。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再对文件类型做猜测。
- **链上统计**：已拉取转入/转出笔数与时间跨度，确认近 30 天无活动，无需重复扫描。
- **密码状态核验**：已确认当前无任何明文密码证据，后续不应假设“已破解”或“密码已知”。
- **余额判定**：已确认业务未标记为“余额很小”，后续工作应继续按高价值钱包投入资源。
- **未尝试方向**：尚未对文件名中的“MEGA-BONUS”进行互联网公开信息检索，也未对 2025 年转入地址做反向关联——这两项是当前最值得优先补充的线索。