BTC 钱包风险检测与恢复评估 #996

### 1. 一句话结论
这是一个持有约 13.47 BTC 的 Legacy 格式比特币钱包，目前**尚未获得明文密码**，但通过链上数据已确认其活跃期集中在 2013 年，且近期（2025 年）有一次转入记录，值得继续围绕“历史交易对手”和“钱包文件元数据”补充线索。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：钱包 ID 996，币种 BTC，主地址 `13JFjMDYsxBoDkEAXThnR6Au4MxhsxkLKs`，版本为 `bitcoin_legacy_bdb`，文件大小 81920 字节。
- **余额状态**：当前余额 13.47101189 BTC，业务标注“余额很小”为**否**（即余额并不算小）。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有**强证据表明已拿到明文密码。
- **交易统计（来自 wallet_transactions.direction）**：
- 转出（send）笔数：1 笔，最后转出时间 2013-11-29。
- 转入（receive）笔数：18 笔，最后转入时间 2025-01-27。
- 近 30 天转入/转出均为 0，说明近期无主动操作。
- 交易时间跨度 4210 天（约 11.5 年）。
- **文件路径线索**：路径中含 `MEGA-BONUS_wallet_13,47`，暗示该钱包可能与某个“MEGA-BONUS”活动或批次相关。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个 80KB 的 Legacy 钱包文件，文件名带有 `wallet_13,47` 和 `MEGA-BONUS` 字样，推测它来自某个批量生成或活动分发的钱包集。第一步是确认文件格式与版本，确定为 `bitcoin_legacy_bdb`，这决定了后续数据解析方式。

接着我们同步了链上交易记录，发现这个地址在 2013 年有一笔转出，之后长期沉寂，直到 2025 年 1 月突然有一笔转入。这个“沉睡 12 年又收到钱”的模式，通常意味着原持有人可能仍保留私钥，或该地址被第三方用于某种归集操作。

在密码层面，我们目前只确认“尚未拿到明文密码”，没有可用的 `cracked_password` 字段。我们也没有发现任何“余额为 0”的业务标注，因此不能以“空钱包”为由结案。整个推进过程是：文件识别 → 链上行为画像 → 密码状态确认，每一步都基于字段事实，没有跳步。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 2013-11-29 14:42:56。这是该地址历史上唯一一次主动支出，之后 11 年再无转出。
- **转入（receive）**：共 18 笔，最后一笔发生在 2025-01-27 13:13:01。说明该地址在 2025 年初仍收到过资金。
- **近期活动**：近 30 天转入/转出均为 0，当前处于静默状态。
- **未同步数据**：关于每笔转入的具体金额、对手地址、以及 2013 年那笔转出的找零去向，当前数据摘要中未提供，属于“未知/待补充”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 13.47 BTC，业务标注“余额很小”为**否**，即不满足“小额放弃”条件，不能以“余额为 0”或“价值低”为由终止。
- **明文密码状态**：`cracked_password/actual_password` 字段为**否**，因此**尚未获得明文密码**，所有关于“已破解”的说法均不成立。当前仍处于“密码未知、继续尝试”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 18 笔转入的完整明细**（时间、金额、对手地址），用于判断 2025 年那笔转入的来源性质（是原主人操作还是交易所冷热转账）。
2. **调取 2013 年那笔转出的找零地址**，看是否回流到本钱包或关联地址，这有助于还原地址族谱。
3. **核查 `MEGA-BONUS` 活动批次资料**，确认该钱包是否属于某个已知活动空投/奖励池，可能对应固定密码规则。
4. **检查钱包文件内是否残留历史标签或注释**（BDB 格式中可能存有 `tx` 备注或地址标签）。
5. **比对同一批次（wallet_13,47 附近编号）其他钱包的破解状态**，若同批有成功案例，可复用其规律。
6. **补充 2025-01-27 转入时的区块确认信息**，确认该笔交易是否来自已知交易所热钱包地址。
7. **获取该地址在 2013 年的首次转入时间与金额**，判断是否为“挖矿收益”或“购买所得”。
8. **确认钱包文件是否包含多把密钥**（Legacy 钱包可能含多个地址），当前主地址只是其中之一。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复做格式探测。
- **链上交易统计**：已拉取方向、笔数、时间跨度，但**未拉取逐笔明细**，下一步应聚焦明细而非重复统计。
- **密码状态核实**：已确认 `cracked_password` 为否，**不应再假设“已破解”**，后续所有沟通应基于“密码未知”。
- **余额判定**：已确认余额非零且业务标注非“小额”，**不应再以“余额为 0”为由结案**。
- **未尝试方向**：尚未对文件内元数据（如创建时间、内部备注）做深度解析，也未对同批次钱包做横向对比，这两块是空白，值得优先投入。