BTC 钱包风险检测与恢复评估 #1037

### 1. 一句话结论

钱包 `1MJ5ebhcgZczc5qvdJM3h5SNYgUjDxjWeD` 是一份 **2012 年创建、2026 年仍有转入活动** 的 Bitcoin Legacy 格式钱包文件，当前链上余额 **0.54917357 BTC**；**尚未获得明文密码**，且业务标注“余额很小”为 **否**，说明该钱包仍具较高优先级。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID `1037`，名称 `MEGA-BONUS`，文件为 `bitcoin_legacy_bdb` 格式（Berkley DB 旧版 Bitcoin Core 钱包）。
- **文件信息**：大小 `229,376` 字节（约 224 KB），路径位于 `fake.czb.com/BTC/unknown/` 目录下，属于“未知来源”分类。
- **余额与标注**：链上余额 `0.54917357 BTC`；业务标注“余额很小(≤阈值)”为 **否**，即该余额 **未达低优先级阈值**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即 **没有** 任何已确认的明文密码或助记词证据。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：**1 笔**，最后发生在 `2012-08-19 17:25:50`。
- 转入（receive）：**49 笔**，最后发生在 `2026-03-29 21:45:48`。
- 近 30 天转入/转出均为 **0**。
- 交易时间跨度：**5047 天**（约 13.8 年）。
- **录入与更新**：录入时间 `2026-06-23`，最近更新 `2026-08-06`，数据标注日期为录入后 17 分钟。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这份钱包文件在 2026 年 6 月 23 日被纳入分析流程。从文件路径看，它被归入 `unknown`（未知来源）目录，文件名带有 `MEGA-BONUS` 标签和完整地址，说明当时是作为一批待检钱包之一被收录的。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这是 2012 年前后 Bitcoin Core 默认的钱包数据库格式。文件大小约 224 KB，符合一个包含数十个地址和交易记录的钱包特征。

随后我们拉取了链上交易摘要。数据显示：该地址在 2012 年 8 月有过 **1 笔转出**，之后长达 14 年几乎只进不出——直到 2026 年 3 月 29 日还有一笔转入。这个“长期沉睡、近期仍有入账”的模式，结合 `0.549 BTC` 的余额，使得该钱包被标记为 **非低优先级**。

在密码验证环节，我们检查了是否存在已确认的明文密码（`cracked_password` 字段），结果为 **否**。这意味着目前我们手里只有加密的钱包文件，没有任何可直接解锁的凭据。文件路径中的 `fake.czb.com` 提示该数据集可能来自测试或镜像环境，但这不影响对钱包本身的分析结论。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：仅 **1 笔**，发生在 `2012-08-19`。这是该地址历史上唯一一次主动支出，之后 14 年再无转出记录。
- **转入（receive）**：共 **49 笔**，最后一笔发生在 `2026-03-29`。转入频率在近 30 天为 0，说明最近一次入账后暂无新资金流入。
- **近 30 天活动**：转入 0 笔，转出 0 笔——当前处于静默期。
- **未同步/未知**：关于这 49 笔转入的具体金额分布、对手地址、以及 2012 年那笔转出的去向，当前摘要数据中 **未提供**，暂记为未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为 **否**，即系统判定 `0.549 BTC` 未达到“低价值可放弃”的阈值。这是一个 **业务优先级标记**，与密码是否破解无关。
- **是否拿到明文密码**：字段 `cracked_password/actual_password` 明确为 **否**。因此，**尚未获得任何明文密码、助记词或私钥**，所有解锁尝试均未成功或尚未完成。我们不会声称“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充 49 笔转入的完整交易列表**（时间、金额、对手地址），用于判断资金来源是否集中、是否存在找零地址归集。
2. **调取 2012-08-19 那笔转出的目标地址**，看是否与同一钱包内其他地址或已知交易所地址关联。
3. **检查钱包文件内是否包含地址标签或注释**（BDB 格式中可能存有 `label` 字段），这常能提示钱包用途或持有人线索。
4. **核实文件路径中 `fake.czb.com` 的环境属性**——确认这是真实扣押数据还是测试镜像，影响后续取证方向。
5. **比对钱包内所有派生地址**与公开黑名单/制裁地址库，排查是否涉及历史风险交易。
6. **寻找同批次（同目录、相近录入时间）的其他钱包文件**，看是否存在同一持有人控制的多地址集群。
7. **获取该钱包文件的 SHA256 哈希与创建时间元数据**，用于与其他备份文件交叉比对，确认是否有重复或父子版本。
8. **若存在密码提示字段或钱包备份说明文档**，请一并提供——这属于合规线索，而非攻击步骤。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包或非标准格式的干扰。
- **密码存在性检查**：已核实系统中 **没有** 任何已确认的明文密码记录，因此无需再搜索“已知密码库”。
- **余额优先级判断**：已完成业务标注，确认该钱包 **不属于** 低价值放弃名单，后续资源投入合理。
- **链上活动概览**：已拉取转入/转出笔数与时间跨度，确认了“长期沉睡、近期入账”的基本画像。
- **未尝试方向**：尚未进行交易对手深度分析、地址标签挖掘、同批次文件关联比对——这些是下一步的空白区，而非重复劳动。