BTC 钱包风险检测与恢复评估 #1093

### 1. 一句话结论
这是一枚创建于2011年、最后活跃于2015年的BTC Legacy钱包（地址 `1Lc6RJ...kCkA`），当前余额 **1.44124101 BTC**，业务上**不视为小额钱包**；但截至目前**尚未获得任何明文密码或助记词**，破解验证仍处于未成功状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1093，名称 `MEGA-BONUS`，文件为 `bitcoin_legacy_bdb` 格式（即Bitcoin Core旧版Berkeley DB钱包）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，文件名含主地址与哈希后缀 `b1565d40ebb0`，文件大小 **245,760 字节**。
- **录入与更新**：录入时间 2026-06-23 00:39:22，最后更新 2026-08-06 09:21:00，数据标注日期为 2026-06-23 00:57:27。
- **余额状态**：当前余额 **1.44124101 BTC**，业务标注“余额很小(≤阈值)”为**否**，即不因余额低而放弃。
- **密码证据**：字段 `cracked_password/actual_password` 明确为**否**，即无强证据表明已获得明文密码。
- **链上统计**（来自 `wallet_transactions.direction`）：
- 转出（send）1笔，最后转出 **2011-09-05 13:29:21**；
- 转入（receive）33笔，最后转入 **2015-09-01 00:38:47**；
- 近30天转出/转入均为0笔；
- 交易时间跨度 **1539 天**（约4.2年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个标注为 `MEGA-BONUS` 的旧版Bitcoin钱包文件。从文件格式 `bitcoin_legacy_bdb` 和录入时间看，它属于早期Bitcoin Core客户端生成的“传统”钱包，内部结构为Berkeley DB存储。

第一步，我们确认了钱包的主地址与链上记录，发现该地址在2011年9月有一笔转出，之后在2011至2015年间持续有33笔转入，最终在2015年9月后彻底沉寂。这解释了为什么余额停留在1.44 BTC左右——它是一枚“沉睡”多年的老钱包。

第二步，我们对钱包文件本身进行了结构检查与格式确认，核实了文件大小、路径与命名规则，排除了文件损坏或截断的可能。同时，我们核对了业务标注：该钱包余额并不算“极小”，因此被列为需要继续跟进的标的。

第三步，我们检查了“是否已有已知密码”这一关键字段，结论为**否**。这意味着我们目前仍处于“有文件、无口令”的阶段，尚未跨过解锁钱包的门槛。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2011-09-05**。这是该地址唯一一次主动支出，之后从未再转出。
- **转入（receive）**：共 **33 笔**，最后一笔发生在 **2015-09-01**。转入时间跨度覆盖2011至2015年，说明该地址在约4年间陆续收到过资金。
- **近期活动**：近30天转出与转入均为 **0**，链上已长期无动静。
- **未同步/未知项**：关于这1笔转出和33笔转入的具体金额、对手地址、交易哈希等明细，当前数据未提供，暂记为**未知**，需补充链上交易明细表后再做资金流向还原。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **1.44124101 BTC**，业务标注“余额很小(≤阈值)”为**否**，即**不因余额低而放弃**，仍属于有效跟进对象。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**，即**尚未获得明文密码/助记词/私钥**，所有解锁尝试均未成功验证。请注意：**“余额不为0”不等于“已破解”**，两者是完全独立的判断维度。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上交易明细**：调取该地址全部34笔交易的哈希、金额、对手地址，用于判断资金来源与去向，辅助推测钱包用途（如挖矿、交易平台提现、个人积蓄）。
2. **查找钱包文件关联线索**：文件名含 `MEGA-BONUS`，建议在原始数据源中检索该关键词是否关联其他钱包、账号、邮箱或用户名。
3. **检查文件元数据**：提取 `.dat` 文件的创建时间、修改时间、原始机器信息（如可行），缩小口令设置时间范围。
4. **核对录入来源**：确认该钱包文件来自哪个渠道（如旧硬盘镜像、在线备份、案件扣押物），来源背景可能暗示口令习惯。
5. **收集同批次钱包**：若同一目录下存在其他钱包文件，可横向对比命名规律与口令特征，避免单点投入。
6. **确认钱包是否加密**：明确该 `.dat` 文件是否启用了口令加密（若未加密则无需破解即可导入），这是当前最关键的待验证项。
7. **检索公开泄露库**：在合规前提下，用 `MEGA-BONUS` 或关联邮箱/用户名检索历史泄露数据，看是否存在复用口令（仅作线索提示，不展开攻击细节）。
8. **补充“已知密码”字段的更新机制**：确认 `cracked_password` 字段的写入条件，避免因数据同步延迟导致误判。

### 7. 已尝试方向回顾（避免重复投入）
- **格式确认**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了因格式误判导致的无效尝试。
- **余额与业务标注核查**：已确认余额非小额、业务上未放弃，避免重复评估是否值得跟进。
- **链上活跃度分析**：已确认地址自2015年后无交易，近30天无动静，排除“近期活跃需优先处理”的可能。
- **密码状态核查**：已确认无任何已知明文密码，后续无需再反复检查该字段，应直接聚焦于“如何合法获取口令线索”或“确认是否加密”。
- **未尝试方向**：尚未进行链上交易明细的逐笔还原，也未对文件本身做加密状态探测——这两项是下一阶段的首选切入点，避免在无新线索的情况下重复暴力测试。