BTC 钱包风险检测与恢复评估 #1640

### 1. 一句话结论

这是一个仍持有 **2.28883133 BTC** 的 Legacy 格式比特币钱包（ID: 1640），其链上活动集中在 2014 年 2 月至 3 月，目前**尚未获得明文密码**，且**不属于“余额为0”的业务标注**，后续仍有取证与恢复价值。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：主地址 `1FcHtQuvWrFLzqRKVgaaGHMEzL1o9bb36U`，文件名为 `8 сотня 100 / 1FcHtQuvWrFLzqRKVgaaGHMEzL1o9bb36U.dat`。
- **格式与路径**：`bitcoin_legacy_bdb`（老版 Berkeley DB 格式），文件大小 **73728 字节**，路径指向 `fake.czb.com/BTC/review/` 下的 MEGA-BONUS 表目录。
- **余额状态**：当前余额 **2.28883133 BTC**，业务标注为“余额很小(≤阈值)”= **否**，即不因余额小而放弃。
- **密码状态**：`cracked_password/actual_password` 字段 = **否**，即目前没有强证据表明已拿到明文密码。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**1**；最后转出时间：**2014-02-13 08:28:52**。
- 转入（receive）笔数：**6**；最后转入时间：**2014-03-10 13:45:46**。
- 近30天转出/转入笔数均为 **0**，交易时间跨度 **31 天**。
- **录入与更新**：录入于 2026-06-23，最近一次更新 2026-08-06，数据标注日期为 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

我们最初在 2026 年 6 月 23 日接手这个钱包文件时，它静静地躺在 `MEGA-BONUS_!!таблица_8 сотня 100` 的目录里。文件名里的“8 сотня 100”看起来像是一批批量导入的钱包之一，而 `fake.czb.com` 的路径暗示它可能来自某个历史测试或归档数据集。

第一步，我们确认了它的格式是 `bitcoin_legacy_bdb`——这是 2014 年前后比特币核心钱包常用的老式数据库结构。文件大小 73728 字节，符合一个包含少量密钥和交易记录的轻量钱包特征。

第二步，我们核对了链上数据。通过 `wallet_transactions` 表，我们看到这个地址在 2014 年 2 月 13 日有一笔转出，之后在 3 月 10 日之前陆续收到 6 笔转入，然后彻底沉寂。31 天的活跃窗口，之后 12 年再无动静——这像是一个“一次性使用”后就被遗忘的地址。

第三步，我们检查了业务标注。系统明确标记“余额很小”为 **否**，说明 2.28 BTC 的余额在业务上被视为有意义的资产，不能因为金额不大就草率结案。同时，密码字段显示为“否”，意味着我们还没有拿到那把钥匙。

目前，我们停留在“已确认资产存在、但钥匙未找到”的阶段。所有结论都基于上述字段，没有超出数据的猜测。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：仅 **1 笔**，发生在 **2014-02-13 08:28:52**。这是该地址唯一一次主动支出。
- **转入（receive）**：共 **6 笔**，最后一笔在 **2014-03-10 13:45:46**。转入笔数明显多于转出，且最后一笔转入发生在最后转出之后约 25 天。
- **近期活动**：近 30 天转出与转入笔数均为 **0**，说明该地址自 2014 年 3 月后没有任何链上动作。
- **解读**：从统计看，这是一个“先出后进”的地址——先花掉一笔，之后又陆续收到 6 笔。但**我们无法从这些数字判断资金去向或来源地址**，因为 `wallet_transactions` 表未提供对手地址或金额明细。若需进一步分析，必须补充交易详情字段（如 `txid`、`amount`、`counterparty`）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：系统标注“余额很小(≤阈值)”为 **否**，即该钱包**不因余额小而跳过处理**。当前余额 2.28883133 BTC 被视为有效资产。
- **密码状态**：`cracked_password/actual_password` 字段明确为 **否**，即**尚未获得明文密码**。我们没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。
- **结论**：这是一个“有钱但锁着”的状态，与“余额为0”的业务标注完全无关。后续工作重点应放在合法找回密码或密钥材料上。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充交易明细**：获取 `wallet_transactions` 表中缺失的 `txid`、`amount`、`counterparty` 字段，以还原 6 笔转入和 1 笔转出的完整流向。
2. **检查同目录兄弟文件**：路径中 `MEGA-BONUS_!!таблица_8 сотня 100` 暗示存在批量钱包，检查同批次其他 `.dat` 文件是否共享密码规律（仅作线索，不涉及攻击）。
3. **核对钱包名称语义**：文件名中的“8 сотня 100”可能是俄语“8 百 100”的编号，推测与批量生成时的序号有关，可尝试从业务登记表反查该编号对应的备注信息。
4. **查找 2014 年导入记录**：在 `fake.czb.com` 的导入日志或备份清单中，搜索该地址或文件名，确认当时是否记录了密码提示或保管人。
5. **检查 BDB 文件内部元数据**：在不尝试破解的前提下，用合规工具读取钱包数据库的元数据（如 `mkey` 加密参数、迭代次数），确认加密强度与算法版本。
6. **比对历史转出地址**：若拿到 `txid`，可查 2014-02-13 那笔转出的去向地址，可能关联到同一控制人的其他钱包。
7. **确认“MEGA-BONUS”活动背景**：该目录名暗示可能与某次“超级奖励”活动有关，查找活动规则或客服记录，看是否有密码发放或重置流程。
8. **补充钱包创建时间**：若 BDB 文件内有 `nTimeCreated` 字段，可确认钱包生成时间，辅助判断密码设置习惯（如是否为生日/纪念日）。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 SegWit 或 Descriptor 钱包格式，无需再重复检测。
- **链上活跃度筛查**：已确认近 30 天无交易，且历史交易集中在 2014 年 2-3 月，无需再对近期区块做扫描。
- **业务标注核对**：已确认“余额很小”为否，排除了因金额放弃的流程分支，无需再讨论是否结案。
- **密码状态确认**：已确认 `cracked_password` 为否，后续不应假设“已破解”而跳过密码恢复步骤。
- **文件完整性**：文件大小 73728 字节，结构完整，未发现截断或损坏迹象，无需重新提取文件。

> 以上