BTC 钱包风险检测与恢复评估 #987

### 1. 一句话结论
这是一枚长期持有、近期有异动但近30天归于沉寂的比特币钱包（ID 987），余额为 **0.06271848 BTC**，目前**尚未获得明文密码**，且业务层面**未标注为“余额为0”**，因此仍具备继续推进的价值，但需要补充更多关联线索。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：名称 `MEGA-BONUS`，主地址 `15zrzE1psJJGjXyPiLkLTbiqwcjvE4hu7d`，格式为 `bitcoin_legacy_bdb`（旧版BDB数据库）。
- **文件信息**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下的 `.dat` 文件，大小 **458,752 字节**（约448KB），符合早期Bitcoin Core钱包文件特征。
- **余额与标注**：当前余额 **0.06271848 BTC**；业务字段 `余额很小(≤阈值)` = **否**，说明该余额未被系统判定为“可忽略”。
- **密码状态**：字段 `已知密码存在` = **否**，即目前**没有**任何强证据表明明文密码已被获取。
- **录入与更新**：录入时间 2026-06-23，最后更新 2026-08-06，数据标注日期为录入当天。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026年6月23日 被纳入取证视野。当时我们拿到的是一个约 448KB 的 `.dat` 文件，从文件头与格式判断，它属于比特币早期的 `bitcoin_legacy_bdb` 类型——这类钱包通常对应 2010–2015 年间的客户端。

我们首先做了静态信息提取：确认了主地址、钱包名称（MEGA-BONUS）以及当前余额。余额虽然不大（0.0627 BTC），但业务标注明确显示“余额很小”为**否**，意味着系统认为这笔资产仍值得处理。

接着我们拉取了链上交易摘要，发现一个非常有意思的时间错位：**最后一笔转出发生在 2013年12月9日**，而**最后一笔转入发生在 2025年11月18日**——中间隔了将近12年。这说明该地址在2013年后几乎处于“沉睡”状态，却在2025年底突然收到一笔转入。

我们同步检查了密码状态字段，结论是“已知密码存在 = 否”。这意味着我们目前**没有**任何可用的明文密码或助记词，所有关于“已破解”的说法都不成立。整个推进过程目前停留在“资料齐全、但钥匙未到手”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **8 笔**，最后一笔发生在 **2013-12-09**。近30天转出 **0 笔**。
- **转入（receive）**：共 **34 笔**，最后一笔发生在 **2025-11-18**。近30天转入 **0 笔**。
- **时间跨度**：4382 天（约12年）。
- **解读**：该地址在 2013 年完成最后一笔支出后，长期作为“冷存储”存在；直到 2025年11月 出现一笔转入，随后再次归于平静。近30天完全无活动。**注意**：我们只依据 `direction` 字段统计笔数，不推断任何一笔交易的具体性质（如是否找零、是否合并UTXO）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值)` = **否**。这表示系统**并未**因为余额过低而放弃该钱包，它仍处于“有效待处理”状态。
- **明文密码**：`已知密码存在` = **否**。即**尚未获得**任何明文密码、助记词或私钥。所有关于“已破解”的猜测均无事实依据。
- **结论**：当前状态是“有钱包、有余额、无密码”，而非“余额为零已放弃”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **2025-11-18 那笔转入的来源地址**——这是时隔12年后的唯一动静，极可能关联到钱包主人的新身份或新钱包。
2. **2013年12月9日最后一笔转出的去向地址**——可能关联到旧交易所或旧钱包，用于找回密码提示。
3. **钱包文件创建时间**（可通过文件系统元数据获取）——用于推测密码设置年代，缩小范围。
4. **钱包内是否包含地址标签或备注**（BDB中可能存有注释字段）。
5. **同名钱包“MEGA-BONUS”在其他平台或备份中的出现记录**——可能是活动赠品或历史活动钱包。
6. **2013年前后的交易对手方身份**（如已知交易所地址库比对）。
7. **该地址是否出现在任何公开的“沉睡地址”榜单或论坛帖子中**。
8. **补充钱包文件所在目录的其他文件**（如 `.conf`、日志），可能包含线索。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代钱包格式的干扰。
- **链上交易统计**：已完成转入/转出笔数与时间分布梳理，确认了“长期沉睡、2025年异动”的特征。
- **密码状态核查**：已确认“无已知明文密码”，因此**不需要**再重复检查是否已有破解结果。
- **余额阈值判断**：已确认业务上未放弃该钱包，后续工作不应以“余额小”为由中止。
- **未尝试方向**：尚未对2025年转入资金来源做地址聚类分析，也未对文件元数据（创建时间）做深度提取——这两项是当前最大的信息缺口。