BTC 钱包风险检测与恢复评估 #1058

### 1. 一句话结论
这是一枚持有 **310.00021612 BTC** 的 Legacy 格式比特币钱包（ID 1058），链上活动显示“长期沉睡、近期有转入”，但**尚未获得明文密码**，当前处于“已定位、未解锁”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_289.dat`，大小 221,184 字节，格式为 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包），业务标注名称“MEGA-BONUS”。
- **资产现状**：BTC 余额 **310.00021612**，业务标注“余额很小(≤阈值)”为 **否**，即该余额在业务上被认定为**高价值/需重点跟进**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有**强证据表明已拿到明文密码。
- **主地址**：`1LWGFqGfEJEp4yxrzsbrJCmwaLjDqvjVLd`（Legacy 地址，以 `1` 开头）。
- **录入与更新**：2026-06-23 录入，最近一次数据更新为 2026-08-06，说明该钱包在持续被跟进。
- **文件路径**：位于 `fake.czb.com/BTC/real/` 目录下，属于“真实样本”分类，而非测试生成。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 **2026-06-23** 被纳入取证库。当时系统记录下它的主地址与文件路径，并确认其格式为 `bitcoin_legacy_bdb`——这是比特币早期客户端常用的钱包格式，意味着它的密钥派生方式与新版（如 BIP32/44）不同，需要针对性的解析方案。

随后我们做了两件事：第一，核对链上交易摘要，确认它不是空钱包；第二，检查业务标注，确认余额 310 BTC 属于“非小额”，值得投入资源。在 6 月 23 日当天，系统完成了首次数据标注，并在之后一个多月里持续跟踪其链上动静。

到了 **2026-08-06**，钱包数据被再次刷新。此时链上摘要显示：该地址在 **2026-05-22** 还有一笔转入，而最后一笔转出停留在 **2013-04-14**。这说明它是一枚“老钱包、新动静”的地址——早年囤币后长期不动，近期又收到一笔资金。但需要强调的是：**我们目前只完成了“资产确认”和“格式识别”，并未完成解锁**。密码字段仍为“否”，意味着我们还没有拿到那把钥匙。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，最后一笔发生在 **2013-04-14**。近 30 天转出 **0 笔**。
- **转入（receive）**：共 **19 笔**，最后一笔发生在 **2026-05-22**。近 30 天转入 **0 笔**。
- **时间跨度**：4785 天（约 13 年），说明该地址从 2013 年活跃过一阵后长期沉寂，直到 2026 年 5 月又收到转入。
- **解读**：该地址呈现“早年支出极少、近期只进不出”的特征。2013 年的那笔转出可能是历史操作，而 2026 年的转入或许意味着原主人或相关方仍掌握该地址的私钥，或有人向该地址误打款。**注意：以上仅为基于方向字段的客观描述，不推断具体转给谁或来自谁。**

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务上不认为这是低价值钱包，反而应视为高优先级目标。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 为 **否**。因此，**我们尚未获得该钱包的明文密码或助记词**，所有关于“已破解”的说法均不成立。当前状态是“已锁定目标、已解析格式、密码未知”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取钱包创建时间或首次交易时间**：用于推测密码设置习惯（如年份组合），但需注意仅作分析，不构成攻击步骤。
2. **查找同目录下其他钱包文件**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下是否有 `MEGA-BONUS` 系列的其他文件，可能包含密码提示或相似密码。
3. **调取 2026-05-22 那笔转入的关联地址**：若转入方是交易所或已知实体，可能通过合规渠道联系；若是个人地址，则可能提供身份线索。
4. **检查钱包文件内是否残留“钱包描述”或“备注”字段**：BDB 格式有时会保存用户自定义标签。
5. **核对 2013-04-14 转出交易的找零地址**：若找零地址与主地址属于同一钱包，可确认当时钱包的完整地址池。
6. **补充该地址在 2013 年之前的链上行为**：如首次激活时间、初始资金来源，用于判断钱包“年龄”。
7. **确认该钱包是否使用“仅密码加密”还是“加密+二次验证”**：这决定了解锁路径的复杂度（需在合规工具内查看文件头结构）。
8. **寻找钱包文件的备份或历史快照**：如服务器备份、云盘同步记录，可能包含未加密版本或旧密码。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了新格式钱包的解析路线。
- **余额与业务标注核对**：已确认 310 BTC 非小额，排除了“低价值放弃”的可能。
- **链上动静梳理**：已明确转出 1 笔、转入 19 笔，排除了“完全沉睡无交易”的假设。
- **密码状态确认**：已核实 `cracked_password=否`，因此**不应再假设“密码已拿到”而跳过解锁环节**，后续工作应聚焦于“如何合法合规地获取或重置密码”，而非重复验证“是否已破解”。