BTC 钱包风险检测与恢复评估 #957

### 1. 一句话结论
钱包 957（BTC，主地址 1PYAY...fK3）目前持有 142.09893994 BTC，但尚未获得明文密码或助记词，破解工作仍在进行中，且近期链上无新增活动。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 957，币种 BTC，版本/格式为 `bitcoin_legacy_bdb`，文件名为 `wallet_141.dat`，归属标注为“MEGA-BONUS”。
- **文件信息**：文件大小 110,592 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`，录入时间为 2026-06-23，最近更新时间为 2026-08-06。
- **余额状态**：当前余额 142.09893994 BTC；业务标注“余额很小（≤阈值）”为**否**，即余额并不小。
- **密码状态**：字段 `cracked_password / actual_password` 明确为**否**，即目前没有已确认的明文密码。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）26 笔，最后转出时间 2013-10-23。
- 转入（receive）46 笔，最后转入时间 2026-05-22。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 5246 天（约 14.4 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证视野，当时我们拿到的是一个名为 `MEGA-BONUS_wallet_141.dat` 的旧版 Bitcoin Core 钱包文件（legacy BDB 格式）。从文件路径看，它来自一个标注为 `fake.czb.com` 的评审数据集，说明它可能是某次批量取证或演练任务中的一部分。

我们首先对文件本身做了静态检查，确认它的大小和格式符合预期，没有损坏。随后我们尝试了常规的合规解锁流程——但这里必须说明：截至目前，字段 `cracked_password` 仍为“否”，意味着我们**没有**通过任何方式拿到可用的明文密码或助记词。所有关于“密码已破解”的说法都是不成立的。

在等待密码突破的同时，我们同步拉取了链上交易摘要。数据显示这个地址从 2013 年就开始有转出记录，而最后一笔转入发生在 2026 年 5 月，说明它是一笔“沉睡多年、近期又动了一下”的资产。近 30 天没有任何交易，意味着目前它处于静默状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 26 笔，最后一笔发生在 **2013-10-23**。说明该地址在 2013 年之后基本停止了主动支出行为。
- **转入（receive）**：共 46 笔，最后一笔发生在 **2026-05-22**。说明在 2026 年 5 月有一次新的资金进入，但之后没有后续动作。
- **近期动态**：近 30 天转入、转出均为 0，当前处于无活动状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址或具体时间线明细，因此无法判断 2026 年那笔转入是“归集”还是“误转”，也无法判断 2013 年那批转出是“支付”还是“搬砖”。如需进一步解读，需补充 `wallet_transactions` 的完整明细字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即当前余额 142.09893994 BTC 并不被视为“小额/忽略”级别，业务上仍值得继续跟进。
- **是否拿到明文密码**：**否**。`cracked_password / actual_password` 字段为否，表示我们尚未验证成功任何密码。所有关于“已破解”的猜测均无事实依据。
- **结论**：当前状态是“有钱包文件、有余额、但无密码”，属于典型的“持有待解锁”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件来源背景**：确认 `MEGA-BONUS` 标注的含义，是项目名、活动名还是某次空投/奖励计划，这往往能缩小密码猜测范围。
2. **获取该地址的完整交易明细**（含金额、时间、对手地址），用于判断 2026-05-22 那笔转入的来源地址是否有备注信息。
3. **检查是否有同名或同路径的其他钱包文件**（如 `wallet_140.dat`、`wallet_142.dat`），可能存在密码复用或线索关联。
4. **查找 2013 年前后的历史邮件、备份习惯或笔记**，因为该钱包最后转出在 2013 年，密码很可能在那个时期设定。
5. **确认该钱包是否曾导入过其他格式（如 electrum、armory）**，若有，可尝试跨格式的合规恢复流程。
6. **调取录入时的原始任务描述**（2026-06-23 录入），看是否有附带提示词或备注。
7. **检查文件路径中 `fake.czb.com` 的上下文**，确认是否为测试网/模拟数据，避免在非主网环境上浪费算力。
8. **补充“已知密码存在”字段的判定依据**，明确当前是“从未尝试”还是“尝试过但失败”，以便决定下一步策略。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认文件格式为 `bitcoin_legacy_bdb`，大小正常，未发现文件损坏或截断。
- **链上活动梳理**：已完成转入/转出笔数与时间跨度的统计，确认无近 30 天活动。
- **密码状态核实**：已确认 `cracked_password` 字段为否，说明当前没有可用的明文密码，后续不应再假设“密码已拿到”而跳过验证步骤。
- **未尝试方向**：尚未进行任何基于外部线索（如邮件、备注、历史文档）的密码线索收集，也未补充交易明细数据。这些是下一步的重点，而非重复对同一文件做无差别测试。