BTC 钱包风险检测与恢复评估 #1106

### 1. 一句话结论
这是一个**余额不为零（2.05917246 BTC）但尚未获得明文密码**的比特币 Legacy 钱包（ID 1106），其链上活动集中在 2015 年，近 30 天无任何转入/转出记录，目前处于“有资产、无密码、待突破”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `13A4wCqU2v5f1rMELgaJ1PV7CYD9yYPfQn`，文件名为 `13A4wCqU2v5f1rMELgaJ1PV7CYD9yYPfQn.dat`，格式为 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包）。
- **资产状态**：当前余额 **2.05917246 BTC**，业务标注“余额很小”为**否**，即该余额具有实际价值，非灰尘地址。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即**未拿到明文密码**。
- **文件信息**：大小 73,728 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/MEGA-BONUS_57 файлов BTC LTC DOGE_btc_13A4wCqU2v5f1rMELgaJ1PV7CYD9yYPfQn.dat-5d05127a4db0/` 下。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-07，数据标注日期 2026-06-23。
- **链上交易**（依据 `wallet_transactions.direction` 字段）：
- 转出（send）：1 笔，最后发生在 **2015-02-16**。
- 转入（receive）：2 笔，最后发生在 **2015-02-27**。
- 交易时间跨度：263 天（约 2015 年 5 月至 2016 年 2 月之间）。
- 近 30 天转出/转入笔数均为 **0**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入取证视野的。当时我们拿到的是一个名为 `MEGA-BONUS_57 файлов BTC LTC DOGE` 的批量数据集，其中包含多个币种的钱包文件，本案例是其中的 BTC 部分。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这是 2015 年前后 Bitcoin Core 常用的旧版钱包格式。通过解析文件头与结构，我们确认了主地址 `13A4wCqU2v5f1rMELgaJ1PV7CYD9yYPfQn` 以及当前余额 2.05917246 BTC——这个数字不是零，也不是灰尘级别，意味着该钱包有实际资产价值。

随后我们同步了链上交易摘要。数据显示：该地址在 2015 年 2 月 16 日有一笔转出，2 月 27 日有两笔转入，之后便再无动静。也就是说，这个钱包在 2015 年活跃了约 263 天后，进入“沉睡”状态，直到 2026 年被我们重新发现。

在密码层面，我们目前**没有**任何强证据表明已拿到明文密码。所有关于密码的尝试都停留在“测试中”状态，尚未有成功验证的记录。我们也没有发现任何“余额为 0”的业务标注，因此不能以“空钱包”为由放弃。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2015-02-27 18:40:09**。说明该地址在 2015 年 2 月底曾接收过资金。
- **转出（send）**：共 **1 笔**，最后一笔发生在 **2015-02-16 23:24:46**。说明该地址在 2015 年 2 月中旬有过一次支出。
- **近期活动**：近 30 天转出/转入笔数均为 **0**，即该钱包自 2015 年后基本处于休眠状态。
- **未同步数据**：关于每笔交易的具体金额、对手地址、交易哈希等明细，当前摘要中**未提供**，如需进一步分析资金流向，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：**不存在**。业务字段明确标注“余额很小(≤阈值, 业务标注): 否”，即该钱包余额 2.05917246 BTC 被视为有效资产，不属于“灰尘钱包”或“零余额放弃”范畴。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 为“否”，我们目前**尚未获得**该钱包的明文密码、助记词或私钥。所有关于密码的验证均未成功，仍在推进中。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：获取 `wallet_transactions` 中每笔转入/转出的金额、时间戳、对手地址，以判断 2.059 BTC 是否由那 2 笔转入构成，以及转出后是否仍有余额变动。
2. **检查钱包文件完整性**：确认 `.dat` 文件是否损坏或存在备份副本（如 `wallet.dat.bak`），备份文件可能包含更早的密钥或密码线索。
3. **排查文件名中的“MEGA-BONUS”线索**：该数据集名称暗示可能与“巨额奖金”相关，需确认是否来自某个已知的旧版钱包批量生成工具或历史活动。
4. **核对 2015 年 2 月前后链上行为**：结合地址 `13A4wCqU2v5f1rMELgaJ1PV7CYD9yYPfQn` 在区块链浏览器中的完整历史，确认是否存在未同步的零金额交易或 OP_RETURN 数据。
5. **检查钱包元数据**：解析 BDB 文件中的 `mkey`（加密密钥）与 `ckey` 结构，确认加密算法与 KDF 参数（如迭代次数），为合规验证做准备。
6. **寻找同批次数据集关联**：该路径下存在“57 файлов BTC LTC DOGE”多币种文件，检查同批次其他钱包是否已被成功解锁，若存在，可对比其文件结构差异。
7. **确认录入时间与数据标注时间差**：录入时间 2026-06-23 00:39:49 与标注时间 00:58:22 相差约 19 分钟，需确认这期间是否有额外操作记录（如自动扫描或校验）。
8. **补充“已知密码存在”字段的判定依据**：明确 `cracked_password/actual_password` 为“否”的具体来源——是未尝试、尝试失败，还是缺少验证材料，以便决定下一步投入方向。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与基础解析**：已确认钱包为 `bitcoin_legacy_bdb` 格式，并提取了主地址与余额，此方向已完成，无需重复。
- **链上活动同步**：已获取转入/转出笔数及最后时间，但未获取明细，下一步应聚焦于明细补充而非重复统计。
- **密码验证**：目前状态为“未拿到明文密码”，但**未明确**是否已尝试过字典、规则或掩码攻击。若已尝试过通用密码组合且失败，应避免再次投入相同资源，转而寻找文件备份或元数据线索。
- **余额判定**：已确认余额