BTC 钱包风险检测与恢复评估 #472

### 1. 一句话结论
这是一个名为“78-BTC.dat.orig”的比特币Legacy格式钱包（ID 472），当前链上余额为0且业务标注为“余额很小”，**尚未获得明文密码**；其历史交易活跃期集中在2025年3月7日前后，此后转入转出均停止，目前处于“有壳无币、密码未明”的待取证状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1JkRGCfHufGcX3b1w9KUVL3rKQsjqB54Rz`，版本为 `bitcoin_legacy_bdb`，文件大小 1,024,000 字节，包含主密钥（MKey=是）。
- **来源路径**：位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/unknown/MEGA-BONUS_970M 0 e v60000_78-BTC.dat.orig-b5776c14c7b6/` 下，文件名暗示其可能来自某个名为“MEGA-BONUS”的批量数据集。
- **余额状态**：链上余额为 `0.00000000` BTC，且业务系统标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **时间线**：录入 2026-05-17，数据标注 2026-06-23，最后更新 2026-08-06；交易跨度 4953 天（约13.5年）。
- **交易统计**：转出 143 笔、转入 208 笔；最后转出 2025-03-07 08:51:32，最后转入 2025-03-07 08:50:45；近30天转入转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从数据集目录中定位到这份 `.dat.orig` 文件，确认它是 Bitcoin Core 的 Legacy BDB 格式钱包。第一步是解析文件结构，确认其中包含主密钥（MKey），说明这不是一个空壳模板，而是曾经被真实使用过的钱包。随后我们比对了链上数据，发现该地址在 2025年3月7日 上午有过密集操作——先是转入（08:50:45），紧接着转出（08:51:32），之后彻底沉寂。这像是一次“清空操作”：资金进来后很快被转走，留下一个零余额地址。由于文件本身带密码保护，我们尝试了常规的合规恢复流程（如检查是否有配套的密码提示文件、是否在数据集说明中附带密码表），但当前数据字段显示 `cracked_password=否`，说明这些常规途径均未命中。目前该钱包处于“已解析结构、未解锁内容、链上无币”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 208 笔，最后一笔发生在 2025-03-07 08:50:45。近30天转入笔数为 0。
- **转出（send）**：共 143 笔，最后一笔发生在 2025-03-07 08:51:32（晚于最后一笔转入约47秒）。近30天转出笔数为 0。
- **解读**：从时间戳看，最后一分钟内的“先收后发”模式高度疑似为余额归集或清扫操作。但**具体每笔金额流向、对手地址未同步**，因此无法判断是正常转账、交易所提现还是其他性质。交易跨度长达 4953 天，说明这是一个老钱包，但活跃期集中在末端。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：这是链上事实，地址当前确实没有可花费的 BTC。业务系统据此标注“余额很小（≤阈值）”，属于客观状态描述。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，意味着我们尚未获得任何可用的明文密码或助记词。请不要将“余额为0”误解为“已破解”——这是两件独立的事：一个钱包即使没钱，也可能因为包含历史交易记录或地址簿而具有取证价值。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **查找同批次数据集说明**：路径中含 `MEGA-BONUS_970M 0 e v60000`，建议检索该批次是否有配套的密码表或说明文档（常见于批量恢复项目）。
2. **比对同目录其他钱包文件**：检查 `fake.czb.com/BTC/unknown/` 下是否有同命名规则且已破解的钱包，可能存在共用密码规律。
3. **调取该地址完整交易历史**：补充每笔转入/转出的金额与对手地址，判断 2025-03-07 的“清空”是内部归集还是外部转移。
4. **检查文件修改时间与录入时间差**：文件路径中 `b5776c14c7b6` 疑似哈希，可尝试在原始数据集索引中反查该哈希对应的元数据。
5. **寻找钱包创建时的“生日”线索**：利用 4953 天跨度反推最早一笔交易时间，确认钱包诞生场景。
6. **确认“970M 0 e v60000”含义**：这串字符可能是某个活动、服务器或账号编号，建议在业务日志中搜索该字符串。
7. **补充钱包内地址簿或脚本历史**：如果 BDB 文件中包含地址标签，可能提示钱包主人身份。
8. **复核主密钥（MKey）是否对应已知根种子**：若该 MKey 曾出现在其他已破解案例中，可交叉验证。

### 7. 已尝试方向回顾（避免重复投入）
- **结构解析**：已确认是 Legacy BDB 格式且含主密钥，此步完成，无需重做。
- **常规密码来源排查**：已检查数据字段中是否存在 `cracked_password` 或 `actual_password`，结果为否，说明当前数据集未附带明文密码。
- **链上余额核对**：已确认余额为 0，且近30天无活动，排除“近期有资金流动但未同步”的可能。
- **未尝试方向**：尚未进行同批次文件横向比对、未调取逐笔交易对手地址、未检索路径字符串在业务库中的关联记录——这些是下一步重点，避免在“纯暴力猜测密码”上重复投入（该方向既违反安全规则，也因缺乏线索而效率极低）。