BTC 钱包风险检测与恢复评估 #1281

### 1. 一句话结论
这是一个余额为 **575.99112083 BTC** 的 Legacy 格式比特币钱包（钱包ID 1281），目前**尚未获得明文密码**，且链上数据显示仅有一笔历史转入、无任何转出记录，整体处于“待解锁、未动用”状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1281，主地址 `13ASMMr7RRu6ZCJG1Nd7K6RZyGzqChCCc7`，币种 BTC。
- **文件信息**：`wallet_575,99.dat`，格式 `bitcoin_legacy_bdb`，大小 475,136 字节，路径指向 `MEGA-BONUS_BITCOIN CORE WALLETS` 数据集目录。
- **余额状态**：当前余额 575.99112083 BTC；业务标注“余额很小(≤阈值)”为 **否**，即余额显著高于阈值。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有**强证据表明已获得明文密码。
- **链上交易**（依据 `wallet_transactions.direction`）：
- 转入笔数：1；最后转入时间：2024-02-19 19:23:46。
- 转出笔数：0；近30天转入/转出均为 0。
- 交易时间跨度：0 天（仅单笔记录）。
- **时间线**：录入 2026-06-23，数据标注同日，最后更新 2026-08-14。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是 2026 年 6 月 23 日被纳入取证视野的。当时我们拿到的是一个名为 `wallet_575,99.dat` 的 Legacy 格式文件，文件大小约 464 KB，从路径看属于一个名为“MEGA-BONUS”的批量钱包数据集。

我们首先做了两件事：一是确认文件格式与版本（`bitcoin_legacy_bdb`），二是核对链上交易摘要。链上数据很干净——只有一笔发生在 2024 年 2 月 19 日的转入，之后没有任何转出动作。这说明该地址自收到资金后一直处于“沉睡”状态。

接着我们检查了业务标注：余额 575.99 BTC 远高于“小额阈值”，因此排除了“因余额过小不值得继续”的提前终止条件。但关键瓶颈在于密码字段——目前没有任何强证据表明密码已被获取，所有关于“解锁”的结论都只能停留在“待验证”阶段。

整个推进过程是：**确认资产规模 → 确认链上活动模式 → 确认密码状态缺口**。目前停在“有资产、无动作、无密码”的三无交叉点。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 1 笔，发生在 2024-02-19 19:23:46。这是该地址唯一已知的资金来源。
- **转出（send）**：**0 笔**。没有任何支出记录。
- **近30天活动**：转入 0 笔，转出 0 笔——近期完全静默。
- **最后转出时间**：未知（因为不存在转出记录）。
- **解读**：该钱包是一个典型的“单次入金、长期持有”地址，资金从未移动。交易时间跨度为 0 天，说明我们掌握的交易数据仅覆盖这一笔孤点。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注层面**：该钱包余额为 575.99 BTC，**不满足**“余额很小(≤阈值)”的标注条件。因此，不存在“因为余额太小而放弃”的业务判断。
- **密码获取层面**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。所有关于“已破解”的说法均无事实依据。当前状态是：**有高价值资产，但密码验证未通过，仍在测试/等待线索阶段**。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **密码线索来源**：优先寻找与 `wallet_575,99.dat` 同目录或同批次的其他钱包文件，可能共享密码规律（仅作关联分析，不涉及攻击细节）。
2. **文件元数据**：检查该 `.dat` 文件的创建时间、修改时间、原始机器信息（如路径中的 `fake.czb.com` 暗示测试环境，需确认是否为真实生产备份）。
3. **助记词/备份文件**：在数据集根目录或相邻文件夹搜索 `.txt`、`.pdf`、`.bak` 等可能包含助记词或密码提示的附件。
4. **交易对手方**：追查 2024-02-19 那笔转入的**来源地址**，看是否关联到已知交易所热钱包或个人地址，可能反推钱包主人身份。
5. **钱包内其他地址**：Legacy 钱包可能包含多个派生地址，需导出完整地址列表，检查是否有其他链上活动。
6. **时间上下文**：2024-02-19 前后是否有公开的比特币大额转账新闻或数据泄露事件，辅助判断资金来源性质。
7. **密码字典补充**：若后续获得“密码提示词”或“常见口令片段”，可针对性补充测试材料（仅描述方向，不展开规则）。
8. **用户行为画像**：若该钱包来自某个“MEGA-BONUS”活动，需查找该活动的历史宣传材料，可能包含默认密码或生成规则。

---

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动分析**：已完成。结论是单笔转入、零转出，无近期活动——**无需重复扫描交易记录**。
- **余额阈值判断**：已完成。余额远高于阈值，**不应以“余额小”为由关闭任务**。
- **密码状态确认**：已核实 `cracked_password = 否`。**不要假设已破解**，所有后续工作应围绕“获取密码线索”而非“验证已得密码”。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，**无需再次猜测格式**。
- **时间跨度检查**：交易跨度 0 天，说明链上数据本身极简，**继续深挖链上数据收益有限**，应转向文件系统与关联材料。