BTC 钱包风险检测与恢复评估 #1334

### 1. 一句话结论

这是一个余额为 **17.09 BTC** 的 Legacy 格式比特币钱包（钱包ID 1334），目前**尚未获得明文密码**，但链上数据显示其存在长期休眠后于 2025 年重新活跃的迹象，下一步重点应放在补充 2025 年转入交易的来源信息上。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：主地址 `1NFp8YqgBjSRFdgWt7ynmojG8gpQDjVDpJ`，文件名为 `MEGA-BONUS_1NFp8YqgBjSRFdgWt7ynmojG8gpQDjVDpJ.dat`，格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 钱包）。
- **余额状态**：当前余额 **17.09001866 BTC**，业务标注“余额很小”为 **否**（即不视为小额钱包）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有**强证据表明已拿到明文密码。
- **文件信息**：大小 57344 字节，路径位于 `review` 目录下，录入时间为 2026-06-23，最近一次更新为 2026-09-01。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**1** 笔；转入（receive）笔数：**14** 笔。
- 最后转出时间：**2011-07-11**；最后转入时间：**2025-01-28**。
- 近 30 天转出/转入均为 **0** 笔。
- 交易时间跨度：**4956 天**（约 13.5 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最早进入我们视野，是因为它在 2026 年 6 月被录入系统，文件被标记为 `MEGA-BONUS`，看起来像是一个历史遗留的“奖励/分红”钱包。我们首先核对了文件格式——`bitcoin_legacy_bdb`，这是 2010 年代早期比特币客户端常用的钱包格式，与文件创建时间吻合。

随后我们拉取了链上交易摘要，发现一个非常有意思的时间线：这个地址在 **2011 年 7 月** 有过唯一一次转出记录，之后几乎陷入沉寂，直到 **2025 年 1 月** 突然出现一笔转入。这中间的跨度长达 13 年多，说明这个钱包可能经历了“早期使用 → 长期休眠 → 近期被重新唤醒”的过程。

我们同步检查了密码状态字段，明确显示 `cracked_password = 否`。这意味着尽管我们可能已经对文件进行了格式解析和结构分析，但**并未**成功还原出明文密码或助记词。目前的工作停留在“确认这是一份真实、有余额、格式正确的 Legacy 钱包文件”这一阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：仅 **1 笔**，发生在 **2011-07-11**。这是该地址历史上唯一一次主动支出行为，距今已超过 14 年。
- **转入（receive）**：共 **14 笔**，最后一笔发生在 **2025-01-28**。说明该地址在 2025 年初收到过一笔资金，但**具体金额与对手方地址未同步**，暂无法判断是历史找零归集还是新资金注入。
- **近期动态**：近 30 天（截至数据更新日 2026-09-01）**无任何转入或转出**，钱包当前处于静默状态。
- **未知项**：14 笔转入的具体时间分布、每笔金额、以及 2011 年那笔转出的去向，均未在本次数据摘要中提供，属于数据缺口。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包余额为 17.09 BTC，业务标注“余额很小”为 **否**。这表示从业务角度看，**不因余额过低而降低处理优先级**，值得继续投入资源。
- **明文密码状态**：字段 `cracked_password/actual_password` 明确为 **否**。因此，**我们尚未获得该钱包的明文密码、私钥或助记词**。任何关于“已破解”的说法均不属实。当前仍处于“文件已获取、格式已识别、密码未攻破”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **调取 2025-01-28 转入交易的完整详情**（对方地址、金额、交易哈希），判断资金来源是否为已知交易所或矿池。
2. **获取该地址 14 笔转入的完整历史列表**，按时间排序，观察是否存在规律性（如挖矿收益、分红发放）。
3. **查证 2011-07-11 那笔转出的去向地址**，看是否与当前余额地址存在关联（如找零地址）。
4. **补充钱包文件的创建时间元数据**（如文件系统时间戳），辅助判断钱包生成的具体客户端版本。
5. **核对 `MEGA-BONUS` 名称在历史活动或论坛帖子中的出现记录**，这可能对应某个早期比特币项目。
6. **检查是否有同批次录入的其他钱包文件**，看是否存在同一助记词派生的一系列地址。
7. **获取该地址在 2011 年之前的交易记录**（如有），确认其最早一笔收入的时间与来源。
8. **补充钱包文件的校验和（hash）**，便于与公开泄露的数据库进行交叉比对（仅比对哈希，不涉及破解）。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与结构解析**：已确认是 `bitcoin_legacy_bdb` 格式，文件大小正常，未发现截断或损坏迹象。
- **链上交易统计**：已拉取方向、笔数、时间跨度等基础数据，确认了“1 出 14 入”的格局。
- **密码状态核查**：已确认 `cracked_password` 字段为否，**未进行或未成功**获取明文密码，后续不应假设“密码已知”而继续投入。
- **近期活跃度检查**：已确认近 30 天无交易，排除了“正在被频繁操作”的可能性。
- **未尝试方向**：尚未对 2025 年转入交易的对手方进行溯源，也未对 14 笔转入的时间分布做聚类分析——这是下一阶段最值得投入的切入点。