BTC 钱包风险检测与恢复评估 #1125

### 1. 一句话结论

这是一份标注为“MEGA-BONUS / WALLET17.82BTC”的比特币 Legacy 格式钱包（ID 1125），当前链上余额为 17.829 BTC，但**尚未获得明文密码**，且业务层面也**未将其标记为“余额很小”**，因此该钱包仍处于“待解锁、待验证”状态。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：主地址 `1LwQU2kqdH6dLSsizstNxrhqk7XhCMLMF3`，文件名为 `WALLET17.82BTC-1LwQU2kqdH6dLSsizstNxrhqk7XhCMLMF3.dat`，格式为 `bitcoin_legacy_bdb`（老版 Bitcoin Core 钱包）。
- **余额与标注**：当前余额 `17.82900000 BTC`；业务标注“余额很小(≤阈值)”为**否**，说明该钱包在业务上被认定为**有实际价值、值得继续处理**。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：大小 73728 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，属于数据集中的“real”分类。
- **录入与更新时间**：录入于 2026-06-23，最近一次更新为 2026-08-06，说明在约 6 周内该钱包仍处于活跃处理流程中。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

我们从数据集中识别到这份名为“MEGA-BONUS”的钱包文件。首先确认了它的格式为 `bitcoin_legacy_bdb`，这是早期 Bitcoin Core 使用的 Berkeley DB 钱包格式，意味着其内部结构相对老旧，处理时需匹配对应版本的工具链。

接着我们核对了链上交易摘要，发现该钱包在 2012 年 5 月有过少量活动（转入 2 笔、转出 1 笔），之后便长期沉寂。余额字段显示 17.829 BTC 仍在地址上，且业务标注未将其判定为“低价值”，因此我们将其列入“需继续尝试解锁”的队列。

在尝试过程中，我们始终遵循安全规范：**不记录、不猜测、不还原任何明文密码或私钥**。目前所有尝试均未产生“已知密码存在”的强证据，因此状态仍为“未破解”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 2 笔，最后一笔发生在 **2012-05-18 07:26:02**。
- **转出（send）**：共 1 笔，最后一笔发生在 **2012-05-03 04:03:13**。
- **近 30 天活动**：转入 0 笔，转出 0 笔（完全沉寂）。
- **交易时间跨度**：15 天（集中在 2012 年 5 月上旬至中旬）。
- **说明**：所有方向均严格依据 `wallet_transactions.direction` 字段统计，未做任何主观推断。该钱包在 2012 年 5 月后无任何链上动作，属于典型的“历史遗留休眠钱包”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包**未被标记为“余额很小/余额为0”**，即业务系统认为其 17.829 BTC 余额具有实际意义，值得继续投入资源。
- **明文密码状态**：字段 `cracked_password/actual_password = 否`，表示**尚未获得明文密码**，也没有任何强证据表明密码已被验证成功。所有相关材料均以“[已脱敏]”处理，不保留任何敏感信息。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充钱包创建时间或首次使用时间**（可缩小密码设置年代范围）。
2. **查找该地址在 2012 年 5 月前后的关联交易对手方**（可能指向钱包主人身份或习惯）。
3. **确认该钱包是否来自某个已知活动/空投/奖励计划**（文件名含“MEGA-BONUS”，可能对应某历史活动）。
4. **获取该钱包文件所在数据集的来源说明**（`fake.czb.com` 路径暗示可能是测试或镜像数据，需确认真实性）。
5. **检查是否有同批次其他钱包文件**（可能共享密码规律或命名规则）。
6. **调取 2012 年该地址的完整交易历史**（当前仅摘要，需完整列表以判断资金流向）。
7. **确认该钱包是否曾导出过私钥或进行过备份**（若有备份文件，可走合规恢复流程）。
8. **补充该钱包在业务系统中的备注或标签**（如“客户提交”“遗留资产”等）。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与版本匹配**：已确认是 `bitcoin_legacy_bdb`，并据此选择对应处理流程，无需重复排查格式。
- **密码状态验证**：已多次检查 `cracked_password/actual_password` 字段，确认目前无强证据支持“已破解”，后续不应假设密码已知。
- **交易活跃度分析**：已确认该钱包自 2012 年 5 月后无活动，近 30 天为 0 笔，无需再对近期交易做重复扫描。
- **业务价值判断**：已确认业务标注为“非低价值”，因此不应将其降级或搁置，应继续按高优先级处理。

---

*本报告仅基于提供的数据字段进行合规复盘，不包含任何密码、私钥或攻击步骤信息。*