BTC 钱包风险检测与恢复评估 #1005

### 1. 一句话结论

钱包 **MEGA-BONUS / 1QAZ...Y2Ds**（BTC，ID 1005）目前持有 **2.04866236 BTC**，属于“有余额但尚未拿到明文密码”的状态；链上活动集中在 2015–2016 年，近 30 天无任何转入/转出，属于典型的“沉睡老钱包”。

### 2. 我们掌握的事实（证据链）

- **身份信息**：钱包名 `MEGA-BONUS`，主地址 `1QAZ3GbyK2bpuejqmoqQaveqoBDFjiY2Ds`，文件为 `bitcoin_legacy_bdb` 格式（老式 Berkeley DB 钱包）。
- **文件情况**：路径指向 `.../MEGA-BONUS_1QAZ...dat-da3120575673/` 下的 `.dat` 文件，大小 **1,589,248 字节**（约 1.5 MB），录入于 2026-06-23，最近一次更新 2026-08-06。
- **余额与密码**：链上余额 **2.04866236 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即余额不小、值得继续处理。已知密码存在（强证据）字段为 **否**——即目前没有证据表明已拿到明文密码。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转入 47 笔，最后转入 **2015-12-17 05:01:37**；
- 转出 3 笔，最后转出 **2016-04-20 02:58:07**；
- 交易跨度 **537 天**；近 30 天转入/转出均为 **0**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是 2026 年 6 月 23 日被纳入台账的，当时我们拿到的是一个约 1.5 MB 的 `.dat` 文件，格式识别为 `bitcoin_legacy_bdb`——这是比特币早期客户端常用的钱包格式，意味着里面可能存有密钥材料，但也可能包含大量历史地址和元数据。

我们首先做了“体检”：确认文件可读、主地址能对上、链上余额约 2.05 BTC。这个余额不算小，业务上标记为“值得继续”，所以没有被归入“低价值快速跳过”的类别。

接着我们拉取了链上交易历史，发现这是一份“时间胶囊”：最后一笔转入停在 2015 年 12 月，最后一笔转出在 2016 年 4 月，之后整整十年没有任何动静。转入 47 次、转出仅 3 次，说明这个地址当年主要是“收币”用途，可能是一个活动奖励或分红地址（名字里的 BONUS 也暗示了这一点）。

在尝试访问钱包内容时，我们遇到了口令保护。目前所有尝试都停留在“尚未验证通过”的阶段——证据字段 `cracked_password/actual_password` 明确为 **否**，所以我们没有声称已拿到密码。我们也没有对余额做过“清零”或“归零”处理，2.04866236 BTC 仍在链上原地址。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **47 笔**，最后一笔发生在 **2015-12-17**。说明该地址在 2015 年下半年有过一段密集的收款期，具体资金来源方未在本次数据中提供，暂记为“未知”。
- **转出（send）**：共 **3 笔**，最后一笔发生在 **2016-04-20**。转出次数很少，可能只是手续费归集或部分提现，具体去向未同步，暂记为“未知”。
- **近期活动**：近 30 天转入 **0** 笔、转出 **0** 笔——完全静默。
- **结论**：这是一个 **2015–2016 年活跃、此后长期沉睡** 的地址；当前 2.04866236 BTC 仍留在原地址，未被移动。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额状态**：当前余额 **2.04866236 BTC**，业务标注“余额很小(≤阈值)”为 **否**——即余额不小，不属于“低价值可放弃”的范畴。
- **密码状态**：已知密码存在（强证据）字段为 **否**。也就是说，**我们尚未获得该钱包的明文密码或助记词**，所有关于“已破解”的说法均不成立。当前仍处于“尝试访问但未验证通过”的阶段。
- **重要区分**：余额不为 0 ≠ 密码已拿到。两者是独立事件，目前只有前者成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充钱包来源信息**：这个 `.dat` 文件最初来自哪台设备、哪个平台（如旧电脑、交易所导出、活动赠送）？来源背景往往决定口令习惯。
2. **查找同批次钱包**：路径中 `fake.czb.com` 暗示可能有同批导入的其他钱包，若存在“姊妹钱包”且已成功打开，可参考其口令风格（仅作线索，不涉及具体规则）。
3. **收集钱包主人的历史身份线索**：如注册邮箱、用户名、关联地址的备注标签，可能指向口令提示。
4. **核对 47 笔转入的来源地址**：若转入方是某个已知交易所或活动方，可反查该活动的发放说明，有时会附带初始密码说明。
5. **检查文件元数据**：`.dat` 文件的创建时间、修改时间、所在目录的其他文件，可能提供操作者习惯的侧写。
6. **确认是否存在旧版备份**：早期 Bitcoin Core 有时会在别处留下未加密的 `wallet.dat` 备份，值得在原始介质中搜索。
7. **调取 2016 年 4 月最后转出时的上下文**：那 3 笔转出是否由本人操作？若当时能操作，说明口令在当时是已知的，可围绕那个时间点的资料展开。
8. **补充“密码提示/找回邮箱”类字段**：如果台账系统支持记录“用户提交的密码提示”，这是最直接的突破口。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与文件体检**：已完成，确认为 `bitcoin_legacy_bdb`，文件完整可读，无需重复。
- **链上交易拉取**：已完成，转入/转出笔数、时间跨度均已入库，无需重新同步。
- **余额评估**：已完成，确认 2.04866236 BTC 非小额，业务上继续跟进。
- **口令验证尝试**：进行中但未成功——证据字段显示“已知密码存在=否”，说明尚未命中。**请勿在未获得新线索的情况下反复尝试同一批猜测**，以免浪费算力与时间。
- **未做事项**：未对地址做任何资金移动，未修改钱包文件，未尝试绕过加密机制（此类操作既不安全也不合规）。