BTC 钱包风险检测与恢复评估 #1021

### 1. 一句话结论
这是一个持有约 **2.008 BTC** 的比特币 Legacy 格式钱包（ID 1021），最近一次链上活动在 2023 年，目前**尚未获得明文密码**，但资产仍在，属于“有余额、待解锁”状态，而非空钱包。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：`MEGA-BONUS / 1Foen6hijntavxrwq6dC1sFKev6NYA4bbc.dat`，路径指向 `fake.czb.com` 的 review 目录，文件大小 81920 字节。
- **格式**：`bitcoin_legacy_bdb`（老版 Berkeley DB 格式），录入时间 2026-06-23，最后更新 2026-08-06。
- **余额**：2.00800863 BTC，业务标注“余额很小”为 **否**（即不视为低价值目标）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有明文密码或验证成功的证据。
- **链上统计**：转出 1 笔（最后 2011-06-21），转入 6 笔（最后 2023-11-09），跨度 4523 天；近 30 天无任何转入/转出。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被录入系统，当时被标记为 `MEGA-BONUS`，文件名直接关联到主地址 `1Foen...`。从文件路径看，它被归入 `review` 目录，说明是待复核/待处理的对象。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`，这是 2010 年前后比特币客户端常用的存储结构，文件大小 81920 字节，符合该格式单钱包文件的典型规模。随后我们核对了链上数据：这个地址在 2011 年有过一次转出，之后长期沉寂，直到 2023 年 11 月又收到一笔转入——这说明该地址在 12 年后被重新使用过，可能涉及旧币归集或备份恢复。

截至最后更新日（2026-08-06），系统仍显示“已知密码存在=否”。这意味着我们虽然完成了格式识别、文件提取和基础校验，但**尚未跨过密码验证这一关**。目前它是一把“锁着的保险箱”，我们知道里面有多少钱，但钥匙还没配出来。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2011-06-21**。这是该地址最早期的动作之一，距今非常久远。
- **转入（receive）**：共 6 笔，最后一笔在 **2023-11-09**。说明该地址在 2023 年仍有入账行为。
- **近期动态**：近 30 天转入/转出均为 **0**，当前处于静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、手续费等明细数据，因此无法判断 2023 年那笔转入是“找零回归”还是“外部付款”，也无法还原 2011 年那笔转出的去向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：系统标注“余额很小”为 **否**，即该钱包余额 2.008 BTC **不视为低价值/可放弃**，业务上仍值得继续投入。
- **明文密码状态**：`cracked_password` 为 **否**，即**尚未拿到密码**。我们没有任何证据表明密码已被验证成功，所有关于“已破解”的说法均不成立。
- **重要区分**：余额不为 0 ≠ 密码已拿到。当前状态是“有钱但锁着”，不是“没钱所以放弃”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2023-11-09 转入交易的完整上下文**（对方地址、金额、备注），判断是否与钱包主人身份相关。
2. **查找 2011-06-21 转出交易的找零地址**，看是否回流到本钱包或其他关联地址，以推断钱包使用习惯。
3. **补充钱包文件创建时间或首次备份时间**（若文件系统元数据可查），缩小密码设置时间窗口。
4. **检索 `MEGA-BONUS` 名称在历史论坛、比特币早期帖子中的出现记录**，可能是活动代号或群组名。
5. **检查同目录下是否有其他 `.dat` 文件或说明文档**（如 `readme.txt`），可能包含提示词。
6. **调取该地址在 2011 年前后的区块高度与交易对手**，还原早期使用场景。
7. **确认钱包是否使用旧版 Bitcoin Core 默认加密方式**，以便评估密码复杂度范围（仅作背景参考，不涉及具体规则）。
8. **询问数据提供方**：该钱包文件最初来源于哪台机器/哪个备份介质，是否有配套的密码提示纸条或邮件记录。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与文件校验**：已确认是 `bitcoin_legacy_bdb`，文件完整，无需重复做格式探测。
- **基础链上统计**：已拉取转入/转出笔数、时间跨度，但**未拉取逐笔明细**，下一步应补明细而非重复统计。
- **密码状态核验**：系统已明确标记“未拿到密码”，因此**不应再假设密码已破解**，也不应基于“已破解”的前提做后续推断。
- **余额价值判断**：已确认 2.008 BTC 不属于“低价值放弃”范畴，无需再讨论是否值得继续。
- **未尝试方向**：尚未进行任何与密码猜测相关的实质测试（因无明文证据），也尚未获取交易对手地址等链上明细——这些是下一步的空白区，而非重复劳动。