BTC 钱包风险检测与恢复评估 #1009

### 1. 一句话结论
这是一个余额极低（0.00001300 BTC）、仅有2笔历史转入且无任何转出记录的老式Bitcoin Core钱包（MEGA-BONUS / wallet_25.dat），目前**尚未获得明文密码**，业务上已将其标记为“低价值/余额很小”类别，建议按低优先级归档处理。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1009，币种BTC，名称“MEGA-BONUS”，文件为 `wallet_25.dat`，格式 `bitcoin_legacy_bdb`（老版Bitcoin Core数据库格式）。
- **文件信息**：大小65,536字节（64KB），路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/MEGA-BONUS_wallet_25.dat-4f4832095a1b/` 下。
- **余额与标注**：当前余额0.00001300 BTC，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”——即**没有**已确认的明文密码。
- **链上交易**（依据 `wallet_transactions.direction` 字段）：
- 转入（receive）笔数：2笔；最后转入时间：2025-02-26 21:18:22。
- 转出（send）笔数：0笔；最后转出时间：未知（无数据）。
- 近30天转入/转出均为0笔；交易时间跨度26天。
- **时间线**：录入2026-06-23，数据标注同日，最后更新2026-08-06。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在2026年6月23日进入我们取证视野的。当时系统录入它的基本信息，并同步抓取了链上交易摘要。从数据看，它是一份典型的“老式Bitcoin Core钱包文件”——64KB的体积、legacy_bdb格式，都指向它可能创建于多年前。

我们首先核对了它的“家底”：余额只有0.000013 BTC，折合价值极低；交易记录显示它只在2025年2月有过两笔转入，之后再无动静，也没有任何转出。换句话说，这是一个“只进不出”且几乎空置的钱包。

在密码层面，我们检查了是否存在已确认的密码证据（`cracked_password`字段），结果为“否”。这意味着我们目前**没有**任何可用的明文密码或助记词。由于余额极小，业务系统也自动将其标记为“低价值”，降低了继续投入资源的优先级。

目前的状态是：钱包文件已归档、交易已梳理、密码状态已确认未破解，等待下一步线索补充。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共2笔，最后一笔发生在2025-02-26 21:18:22。近30天无新转入。
- **转出（send）**：共0笔，最后转出时间**未知**（数据集中无此记录）。近30天无转出。
- **整体判断**：该钱包历史上只收过两笔小额资金，从未转出，且近期完全静默。交易时间跨度仅26天，说明活跃期很短。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”为**是**——这是基于余额0.00001300 BTC的客观数值判断，属于低价值分类，**不等于**“余额为0”，也不代表钱包已清空。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**，也没有任何验证成功的证据。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包创建时间或首次交易时间**：帮助判断钱包年代，推测密码设置习惯。
2. **获取该钱包关联的邮箱/用户名线索**：如“MEGA-BONUS”名称对应的注册信息，可能指向密码提示。
3. **查找是否有备份文件或旧版wallet.dat**：同一路径下是否存在其他副本，可能包含更完整信息。
4. **调取该地址在链上的完整交易历史**：确认是否只有这2笔转入，排除遗漏。
5. **检查是否有密码提示文件或笔记**：在原始数据集中搜索与钱包ID 1009相关的文本备注。
6. **确认“MEGA-BONUS”业务背景**：若是活动奖励钱包，可能密码规则与活动批次相关。
7. **核对录入时间与数据标注时间差**：2026-06-23录入与标注仅差约37分钟，确认是否有同步异常。
8. **评估是否值得继续投入**：鉴于余额极低且无转出记录，建议先确认是否有隐藏的未花费输出（UTXO）再决定。

### 7. 已尝试方向回顾（避免重复投入）
- **交易梳理**：已完成，确认2笔转入、0笔转出，方向字段清晰。
- **密码证据核查**：已检查 `cracked_password` 字段，确认无已知明文密码，无需重复验证。
- **业务价值评估**：已按余额阈值完成低价值标注，后续不应再投入高成本破解资源。
- **文件完整性检查**：已确认文件大小与格式正常，未发现损坏迹象。
- **未尝试方向**：未进行任何密码猜测或字典攻击（合规限制），也未获取到钱包创建时间、关联账号等外部线索——这些是下一步的空白区。