BTC 钱包风险检测与恢复评估 #1416

### 1. 一句话结论
这是一个余额为 **42.42511694 BTC** 的比特币 Legacy 格式钱包（ID 1416），目前**尚未获得明文密码**，但链上记录显示其存在“长期休眠、近期单笔转入”的典型特征，下一步最有价值的线索是围绕 2025 年那笔转入的来源地址展开。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件名为 `MEGA-BONUS_12mG7XAX2NCiSQH6ZwNmCTh1M8z4W3A4dG REAL.dat`，格式为 `bitcoin_legacy_bdb`，大小 69632 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下。
- **主地址**：`12mG7XAX2NCiSQH6ZwNmCTh1M8z4W3A4dG`，录入时间为 2026-06-23，最近一次更新为 2026-08-05。
- **余额状态**：当前余额 42.42511694 BTC，业务标注“余额很小”为**否**（即不认为余额可忽略）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即没有强证据表明已拿到明文密码。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）2 笔，最后转出时间 **2015-05-15**；
- 转入（receive）7 笔，最后转入时间 **2025-01-28**；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 3546 天（约 9.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被录入系统的，当时它带着一个很有“活动感”的名字——`MEGA-BONUS`。我们首先确认了文件格式是比特币早期的 `legacy_bdb`，这意味着它的密钥派生方式比较传统，也意味着任何现代钱包工具都需要兼容旧版 Berkeley DB 结构才能打开。

接着我们核对了链上行为：这个地址在 2015 年 5 月有过两笔转出，之后整整沉寂了近 10 年，直到 2025 年 1 月 28 日突然收到一笔转入。这笔转入让余额从“历史遗留”变成了“当前可动用资产”——也让它从“低优先级”提升到了“需要认真对待”的级别。

我们同步检查了业务标注：系统明确记录“余额很小”为否，说明这不是一个可以随手放弃的地址。但与此同时，密码字段始终没有出现“已知”标记，说明我们手头并没有直接可用的明文密码或助记词。目前的工作停留在“确认资产真实存在、确认格式无误、确认交易时间线”的阶段，尚未进入“拿到钥匙”的环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 2 笔，全部发生在 2015 年 5 月 15 日之前。此后至今（含近 30 天）**无任何转出**。
- **转入（receive）**：共 7 笔，最后一笔发生在 **2025-01-28 15:27:07**。近 30 天**无转入**。
- **未同步/未知**：我们**没有**关于这 7 笔转入的具体金额、对手地址、以及 2 笔转出的目标地址的明细数据。若需进一步分析资金流向，需要补充 `wallet_transactions` 的完整字段（如 `amount`, `counterparty_address`, `tx_hash`）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为**否**，即当前 42.42 BTC 的余额**不被视为可忽略**，业务上需要继续跟进。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**，即**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2025-01-28 那笔转入的完整交易哈希（tx_hash）与对手地址**——这是最近一次激活，来源方可能掌握钱包背景信息。
2. **拉取 7 笔转入的金额明细**，判断是否与“MEGA-BONUS”名称相关的历史活动（如奖励发放、空投）吻合。
3. **检查钱包文件内是否包含地址标签或备注字段**（BDB 格式有时会存自定义元数据）。
4. **核对 2015 年 5 月 15 日两笔转出的目标地址**，看是否流向交易所或已知服务商，以推断钱包主人身份。
5. **确认钱包文件是否包含多个地址**（legacy 钱包常含密钥池），若有，需检查其他地址的余额与交易。
6. **调取钱包文件的创建时间或修改时间元数据**（若文件系统保留），辅助判断生成工具。
7. **查询该地址在 2025 年转入前的余额是否为 0**，以确认是否“清空后重新启用”。
8. **补充钱包来源说明**（如来自哪次扣押、哪台设备、哪个案例），这往往比技术线索更能直接定位密码线索。

### 7. 已尝试方向回顾（避免重复投入）
- **格式确认**：已确认是 `bitcoin_legacy_bdb`，无需再花时间猜测文件类型。
- **余额确认**：已确认当前余额为 42.42511694 BTC，且业务上不视为“小额可弃”，无需重复评估。
- **密码状态确认**：已确认没有已知明文密码，后续不应假设“密码已拿到”而跳过验证环节。
- **近期活动排查**：已确认近 30 天无任何转入转出，短期内不会有新交易干扰判断。
- **未尝试方向**：尚未对 2025 年转入地址做反向追踪，也尚未检查钱包内其他派生地址——这两块是明确的空白区，值得优先投入。