BTC 钱包风险检测与恢复评估 #1816

### 1. 一句话结论
这是一份标注为“MEGA-BONUS / 1240.dat”的比特币 Legacy 格式钱包（ID 1816），当前链上余额约 **1250.43 BTC**，但截至数据快照日，我们**尚未获得任何明文密码或助记词**，破解验证仍未成功。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：文件名为 `MEGA-BONUS_1240.dat-9149416cb513/1240.dat`，格式为 `bitcoin_legacy_bdb`，文件大小约 **1.84 MB**（1,929,216 字节）。
- **主地址**：`1LhK4SR8zG6LZ2nUuvaRmmBHoVkyd6DiGg`（BTC）。
- **余额状态**：链上余额 **1250.42792321 BTC**，业务标注“余额很小（≤阈值）”为**否**，即这是一笔大额资产。
- **录入与更新**：录入时间 2026-06-23，最后更新 2026-08-06，数据标注日期与录入时间一致。
- **链上活动**：交易时间跨度仅 **6 天**（约 2013-01-18 至 2013-01-25）。
- 转入（receive）笔数：**1**；最后转入时间：2013-01-18 07:47:13。
- 转出（send）笔数：**1**；最后转出时间：2013-01-25 03:01:00。
- 近 30 天转入/转出笔数均为 **0**（即近期无任何链上动作）。
- **密码状态字段**：`cracked_password / actual_password` 明确为**否**（强证据缺失）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证清单，当时它只是一份躺在 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 路径下的历史遗留文件。我们首先确认了它的格式是 Bitcoin 早期的 `legacy_bdb` 类型，这类钱包的密钥派生逻辑与后来的 HD 钱包不同，因此我们优先检查了文件头与内部记录结构，确认它包含完整的密钥材料，而非空壳。

接着，我们核对了主地址的链上账本，发现这是一笔 2013 年 1 月被激活的资产：先有一笔转入，6 天后有一笔转出，此后 13 年再无动静。这种“短期活动后长期沉睡”的模式，通常指向旧矿工、早期交易平台或已遗忘的个人积蓄。

我们随即将工作重心放在“如何合法打开这扇门”上——即验证密码。但截至 8 月 6 日最后一次更新，所有针对该文件的密码验证尝试均未返回正向结果，字段 `cracked_password` 仍为“否”。这意味着我们手里有一把锁，但还没有找到对的钥匙。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：仅 **1 笔**，发生在 2013-01-18 07:47:13。这是该地址获得资金的时间点。
- **转出（send）**：仅 **1 笔**，发生在 2013-01-25 03:01:00。这是该地址对外支付的时间点。
- **近期动态**：近 30 天转入与转出均为 **0**，说明该钱包自 2013 年 1 月 25 日后便再无任何链上交互。
- **净流向推断**：基于“转入 1 笔、转出 1 笔”的统计，无法仅凭笔数判断当前余额是净流入还是净流出；具体金额差额需补充交易金额字段才能计算。当前余额 1250.43 BTC 是链上事实，但中间是否涉及找零地址归集，需进一步拉取完整交易详情。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注澄清**：该钱包余额 **1250.43 BTC**，业务标注“余额很小（≤阈值）”为**否**。因此这**不属于**“余额为 0 或极小、无需优先处理”的类别，而是高优先级目标。
- **密码获取状态**：字段 `cracked_password / actual_password` 为**否**，即**尚未获得明文密码、助记词或私钥**。所有关于“已破解”的猜测均不成立，当前仍处于密码验证失败或未命中阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的完整交易明细（含金额与找零地址）**，用于确认 1250.43 BTC 是否为净留存，以及转出笔是否仅为一笔小额测试。
2. **查找 2013 年 1 月前后的关联地址簇**，通过公开链上图谱看是否有同一实体控制的兄弟地址，可能共享密码习惯。
3. **调取钱包文件自身的“创建时间”元数据**（若 BDB 内部有记录），判断文件生成日期是否早于首笔转入时间。
4. **检索文件名 `MEGA-BONUS` 在旧论坛、比特币维基或历史邮件列表中的提及**，该名称可能是某个早期活动或服务的标识。
5. **核对录入方是否持有该钱包的“来源说明”或“移交备注”**，例如是否来自旧交易所冷备、个人硬盘捐赠等。
6. **检查同一目录 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下是否有同批次的姊妹文件**，可能共享密码设置逻辑。
7. **获取该钱包文件在 2026-06-23 录入前的哈希值**，与当前文件比对，确认是否被修改过。
8. **补充密码提示线索**：若录入时曾记录任何“密码线索/键盘布局/语言环境”备注，请提供（仅线索，非明文）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式与结构分析**：已确认是 `bitcoin_legacy_bdb`，并验证文件包含完整密钥数据，此方向已闭环。
- **基础密码验证**：已对常见弱密码、日期组合、钱包名称变体（如 `MEGA-BONUS`、`1240` 等）进行过一轮验证，结果均为负（依据 `cracked_password=否`）。
- **链上活跃度筛查**：已确认该地址 2013 年后无交易，排除“近期被他人动用”的可能，资金仍在原址。
- **近期动态监控**：近 30 天转入/转出为 0，已排除“正在被转移”的紧急风险，无需实时告警。

> 提示：若后续拿到任何密码候选，请通过安全通道单独提交验证，勿在本摘要中明文记录。