BTC 钱包风险检测与恢复评估 #1428

### 1. 一句话结论
钱包 1428（BTC，主地址 1Q58DUT7AVNFCg7CxAivDK9s3pBRAsSj2c）目前链上余额为 1873.55825457 BTC，但**尚未获得明文密码**，且该余额并非“业务标注的小额钱包”，因此当前状态是“资产可见、访问未解锁”。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1428，币种 BTC，格式为 `bitcoin_legacy_bdb`（老式 Bitcoin Core 钱包），文件名为 `MEGA-BONUS_2026.46416785.dat`，大小 3,653,632 字节。
- **余额状态**：链上余额 1873.55825457 BTC；业务标注“余额很小”为**否**，即该余额不因金额小而被忽略。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已获得明文密码。
- **时间线**：录入时间 2026-06-23 00:46:51，数据标注日期 2026-06-23 00:57:45，最近更新 2026-09-05 10:20:59。
- **交易概况**：总跨度 4356 天；转出 1998 笔，转入 2136 笔；最后转出 2024-10-04，最后转入 2026-05-22；近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入审查流程的。当时我们拿到的是一个老式 Bitcoin Core 格式的 `.dat` 文件，文件名叫 `MEGA-BONUS_2026.46416785.dat`，路径显示它来自一个名为 `fake.czb.com` 的审查数据集。

我们首先确认了它的“身份”：这是一个 legacy BDB 格式的钱包，意味着它可能是较早时期创建或备份的。接着我们核对了链上数据，发现这个地址并不“安静”——它有超过 4000 笔历史交易，转入笔数略多于转出，最近一次转入发生在 2026 年 5 月 22 日，之后就没有新的动静了。

在尝试访问钱包内容的过程中，我们遇到的核心障碍是：**没有可用的密码证据**。系统记录里明确写着“已知密码存在 = 否”，这意味着我们目前无法打开这个钱包的加密层，也就无法动用里面显示的 BTC。我们并没有因为余额较大就假设密码简单或可猜测，而是把重点放在梳理“这个钱包是谁的、为什么最后转入后就不再动了”这些问题上。

截至 2026 年 9 月 5 日，我们仍然停留在“确认资产存在但无法解锁”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2136 笔，最后转入时间为 2026-05-22 13:41:32。近 30 天转入为 0，说明该地址在 5 月下旬之后没有再接收资金。
- **转出（send）**：共 1998 笔，最后转出时间为 2024-10-04 08:15:00。近 30 天转出为 0，说明至少一个月内没有资金流出。
- **解读**：转入笔数多于转出，且最后活动是“转入”而非“转出”，结合最后转入至今已超过 3 个月无操作，推测该钱包可能处于“沉淀”或“被遗忘”状态。但请注意，这只是基于时间戳的推断，**不构成对交易意图的判断**。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统并未因余额低于阈值而将本案降级处理。1873 BTC 的余额是实质性的，需要继续跟进。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为否，表示目前没有任何强证据表明密码已被还原或验证成功。我们只能说“尚未获得明文密码”，不能说“已破解”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 查找该 `.dat` 文件是否存在于其他备份路径或旧服务器快照中，比对文件哈希确认是否为同一版本。
2. 检索钱包名称 `MEGA-BONUS` 在业务日志、邮件或工单系统中是否出现过，寻找创建者线索。
3. 调取 2024-10-04 最后一次转出前后的关联地址，分析资金去向，判断钱包控制者身份。
4. 调取 2026-05-22 最后一次转入的来源地址，确认转入方是否为已知交易所或托管钱包。
5. 检查该钱包是否关联其他钱包 ID（同一助记词派生或同一文件复制），扩大取证范围。
6. 补充该钱包的“密码提示”或“备注”字段（如有），作为非攻击性的辅助线索。
7. 确认该钱包是否曾参与质押、锁仓或合约地址交互，避免误判为“遗忘资产”。
8. 补充该地址在 2026-05-22 之后是否有任何链上交互（如仅内部转账），以排除技术性未同步。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认系统内无任何“已知密码”记录，因此不需要再重复尝试“默认密码”或“常见弱密码”这类低效路径。
- **余额判定**：已确认该钱包不属于“小额忽略”范畴，无需再争论是否值得投入资源。
- **交易活跃度判断**：已确认近 30 天无转入转出，说明该钱包当前处于静默状态，不适合用“近期活跃”假设来推导密码更新习惯。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，不需要再花时间猜测是否为其他钱包格式（如现代 descriptor 钱包）。