BTC 钱包风险检测与恢复评估 #986

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（主地址 `1PXJ...rTna`），当前链上余额约 **2.827 BTC**，资产规模不小；但截至数据标注日，**尚未获得明文密码**，且业务上**未被标记为“余额很小”**，因此仍处于“有资产、待解锁”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：`MEGA-BONUS / 1PXJMEw2He6ESDJZkSzUA3eBD6XfCFrTna.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产现状**：BTC 余额 **2.82717743**，业务标注“余额很小”= **否**，即该钱包被认定为有实际价值。
- **密码状态**：`cracked_password / actual_password` 字段 = **否**，即目前没有强证据表明已拿到明文密码。
- **文件信息**：大小 278,528 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/...`，录入时间为 2026-06-23，最近一次更新为 2026-08-06。
- **链上活动（依据 `wallet_transactions.direction`）**：
- 转出（send）2 笔，最后一笔在 **2013-11-23**；
- 转入（receive）44 笔，最后一笔在 **2021-09-09**；
- 近 30 天转入/转出均为 0，交易时间跨度约 2885 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证库，当时我们拿到的是一个约 272 KB 的 `.dat` 文件，属于比特币早期的 Legacy BDB 格式。这类钱包的特点是结构老、字段杂，但内部通常会保存地址、密钥材料和加密后的私钥信息。

我们首先对文件做了静态识别，确认了它的版本与格式，并关联到链上地址 `1PXJ...rTna`。随后拉取了该地址的完整交易历史，发现它从 2013 年开始有转入记录，中间断断续续收到 44 笔，直到 2021 年 9 月最后一次入账；而转出记录只有 2 笔，且停留在 2013 年 11 月。这说明该钱包在早期有过少量支出，之后基本只进不出，像一个“沉淀型”地址。

在密码层面，我们目前只确认了“加密私钥存在且未解锁”，但**没有**任何字段能证明已还原出明文密码。所有关于密码的测试都还停留在“尝试中”的状态，没有成功命中记录。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **44 笔**，最后一笔发生在 **2021-09-09 06:16:43**。近 30 天转入为 0。说明该地址在 2021 年后基本不再接收资金。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-11-23 02:09:55**。近 30 天转出为 0。说明自 2013 年底起，该地址从未主动支出过。
- **净流向解读**：从笔数看，转入远大于转出，且转出时间极早，符合“长期持有/休眠”特征。但**注意**：我们只有笔数与时间，没有逐笔金额明细，因此无法断言“净流入大于流出”的具体数值，只能说方向统计如此。
- **未知项**：每笔的具体金额、对手地址、以及 2021 年后为何停止活动，目前数据未同步，暂不可知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **2.827 BTC**，业务上“余额很小”= **否**，即它被判定为**有继续投入取证价值的对象**，并非“空钱包/低价值”而放弃。
- **密码状态**：`cracked_password / actual_password` = **否**，即**尚未拿到明文密码**。所有关于“已破解”的说法均不成立，当前仍处于“密码未知、继续尝试”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充该地址的逐笔交易明细**（金额、时间、对手地址），用于判断 2.827 BTC 是否为多笔小额合并，还是单笔大额沉淀。
2. **寻找钱包文件的来源上下文**：例如该 `.dat` 文件是从哪台设备、哪个备份介质中提取的，是否有配套的 `.conf` 或日志文件。
3. **排查 2013 年转出 2 笔的对手地址**，看是否关联到交易所或已知服务商，可能反推钱包主人的身份线索。
4. **检索同一路径下其他钱包文件**（`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/`），看是否存在同批导入的关联钱包。
5. **检查文件元数据**（如创建时间、修改时间、原始文件名），辅助判断钱包生成的大致时间窗口。
6. **收集钱包主人可能使用过的密码线索**（如姓名、生日、常用短语），但仅限合规渠道获取，不进行任何暴力猜测。
7. **确认该地址在 2021 年最后一笔转入后是否有链上监控**，排除“私钥已丢失但地址仍被他人使用”的可能。
8. **补充钱包版本对应的 BDB 结构说明**，便于后续在合规工具下做更精确的字段解析。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与静态解析**：已确认是 `bitcoin_legacy_bdb`，并提取了主地址与文件路径，这部分已完成，无需重复。
- **链上交易方向统计**：已拉取转入/转出笔数与时间跨度，结论是“长期休眠、只进不出”，无需再重复统计。
- **密码状态核查**：已确认 `cracked_password` 为否，说明此前没有成功命中记录，后续应避免在无新线索的情况下重复跑同一批旧字典或规则。
- **业务价值判断**：已确认余额不小、值得继续，因此不需要再花时间讨论“是否放弃该钱包”。