BTC 钱包风险检测与恢复评估 #1330

### 1. 一句话结论

这是一枚持有约 **2.209 BTC** 的 Legacy 格式比特币钱包（地址 `1N8L...9fv7`），目前**尚未获得明文密码**，但链上数据显示其历史上曾有过 14 笔转入、0 笔转出，整体呈现“只进不出”的囤积特征，下一步最有价值的突破口是找回与该地址关联的**历史操作日志或备份文件**。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID `1330`，币种 BTC，主地址 `1N8L17Z7D6bBCWkSKABDf2qqJNHT1R9fv7`。
- **文件格式**：`bitcoin_legacy_bdb`，文件名为 `1N8L...9fv7.dat`，大小 **106,496 字节**（约 104 KB）。
- **余额状态**：当前余额 **2.20947753 BTC**，业务标注“余额很小”为 **否**（即不适用小额豁免规则）。
- **密码状态**：强证据字段 `cracked_password / actual_password` 为 **否**，即**尚未验证拿到明文密码**。
- **录入与更新时间**：2026-06-23 录入，2026-09-02 最后更新，数据标注日期为 2026-06-23。
- **链上交易摘要**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）笔数：**0**
- 转入（receive）笔数：**14**
- 最后转入时间：**2025-10-11 07:27:17**
- 最后转出时间：**未知**
- 近 30 天转入/转出：均为 **0**
- 交易时间跨度：**4281 天**（约 11.7 年）

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这枚钱包最早在 2026 年 6 月 23 日被纳入取证视野。当时系统在指定路径下发现了一个 Legacy BDB 格式的 `.dat` 文件，文件大小约 104 KB，属于典型的早期 Bitcoin Core 钱包结构。我们第一时间记录了它的主地址与文件哈希路径，并建立了钱包档案（ID 1330）。

随后我们对该地址进行了链上交易拉取。数据回传显示：这个地址从诞生至今共发生过 **14 笔转入**，却从未有过任何一笔转出记录。最后的一笔资金进入发生在 2025 年 10 月，之后便再无动静。整个交易跨度长达 4281 天，说明这是一个“沉睡”了很久的地址。

在文件层面，我们确认了钱包格式为 `bitcoin_legacy_bdb`，这意味着它的密钥派生与加密逻辑属于早期版本。我们尝试了常规的合规验证流程（非攻击性测试），但截至目前，**强证据字段仍显示“未拿到明文密码”**。也就是说，我们手里有一把锁，也确认了锁里确实有东西（2.209 BTC），但开锁的钥匙还没找到。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **14 笔**，最后一笔发生在 **2025-10-11 07:27:17**。说明该地址历史上曾多次接收资金，且最近一次接收距数据更新日（2026-09-02）已过去约 11 个月。
- **转出（send）**：**0 笔**。该地址从未有过任何支出记录，资金只进不出。
- **近 30 天活动**：转入 0 笔、转出 0 笔，处于完全静默状态。
- **最后转出时间**：**未知**（因转出笔数为 0，故无此时间点）。
- **解读**：这是一个典型的“囤币”地址，14 笔收入构成了当前 2.209 BTC 的余额。由于从未转出，无法从链上行为推断任何资金流向意图。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为 **否**，即系统并未因余额低于阈值而降低处理优先级。2.209 BTC 的余额在业务上属于**需要继续跟进的资产**。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password / actual_password` 明确为“否”，意味着我们**尚未验证成功**，也没有任何明文密码或助记词在手。所有涉及密码的内容均以 `[已脱敏]` 处理，不做任何猜测性还原。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **寻找钱包备份文件**：在原始路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 同级或上级目录，查找是否存在同名或相近时间的 `.dat` 备份（如 `.bak`、`.old`、`wallet.dat` 副本）。
2. **调取录入时的来源信息**：查询钱包 ID 1330 的录入操作日志，确认该文件最初由谁上传、通过什么渠道获得（如用户提交、冷备份恢复、旧硬盘抢救等）。
3. **关联地址画像**：将主地址 `1N8L...9fv7` 放入区块链浏览器，拉取 14 笔转入的**对手方地址**，分析这些资金来源是否指向同一实体或同一批历史交易。
4. **检查文件元数据**：查看 `.dat` 文件的创建时间、修改时间与录入时间（2026-06-23 00:43:49）是否吻合，判断文件是否被复制或改动过。
5. **检索历史工单/备注**：在业务系统中搜索钱包名称 `MEGA-BONUS` 关键词，该命名可能对应某个活动或批次，或许留有密码提示或托管记录。
6. **确认钱包加密标志**：在不触碰密码的前提下，通过文件头结构确认该 BDB 钱包是否启用了加密（若未加密则无需密码即可导入，但需谨慎验证）。
7. **补充近 30 天转入为 0 的上下文**：确认 2025-10-11 之后是否发生过地址迁移或资金归集操作（尽管转出为 0，仍需排除链下交易可能）。
8. **用户联系信息补录**：若该钱包来自真实用户，尝试通过合规渠道联系原始提交者，询问是否记得密码线索或备份位置。

---

### 7. 已尝试方向回顾（避免重复投入）

- **链上交易分析**：已完成，确认 14 笔转入、0 笔转出，交易跨度 4281 天。此方向已闭环，无需重复拉取。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，属于早期格式，后续无需再对格式做重复鉴定。
- **密码验证尝试**：已进行过合规流程的初步测试，但强证据字段显示未成功。**不建议在缺乏新线索的情况下盲目重复相同测试**，应优先补充第 6 节中的外部线索（如备份文件、来源日志）。
- **路径与文件大小记录**：已存档（路径含 `MEGA-BONUS` 标识，文件 106,496 字节），无需重新采集。

---

> **安全提示**：本报告所有过程均基于合规取证流程，不涉及任何明文密码、助记词或私钥的还原与展示。任何密码相关内容均以 `[已脱敏]` 处理。请勿在公开渠道传播本钱包地址的敏感操作细节。