BTC 钱包风险检测与恢复评估 #1275

### 1. 一句话结论

这是一个仍持有约 **1.095 BTC** 的 Legacy 格式比特币钱包（钱包ID: 1275），目前**尚未获得明文密码**，但链上数据显示其资产在 2026 年 3 月仍有转入记录，属于“有余额、待解锁”状态，而非空钱包。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：BTC 地址 `13zGWafxvu5tqe8YdUkYScDGPhzPQZJDTt`，版本为 `bitcoin_legacy_bdb`（老式 Berkeley DB 格式）。
- **资产规模**：当前余额 **1.09503876 BTC**，业务标注为“余额不小”（未达小额阈值）。
- **文件信息**：钱包文件名为 `wallet_1,094BTC_wallet_1,094.dat`，大小 **81920 字节**，路径指向一个名为“MEGA-BONUS”的批量钱包数据集。
- **时间线**：录入于 2026-06-23，最后更新于 2026-08-16；链上交易跨度 **4312 天**（约 11.8 年）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初是在 2026 年 6 月 23 日被纳入分析范围的。它来自一个名为“MEGA-BONUS”的批量数据集，文件名里带着“1,094BTC”的字样，看起来像是某个历史活动或旧备份的遗留物。

我们首先确认了它的格式是 `bitcoin_legacy_bdb`——这是比特币早期客户端常用的钱包数据库结构。通过读取链上交易记录，我们发现这个地址并非“沉睡账户”：它在 2014 年有过一笔转出，而在 2026 年 3 月 10 日还有一笔转入。这说明这个钱包在近期仍然被使用或有人向其打款，并非完全废弃。

随后我们检查了密码状态。根据系统内强证据标记，目前**没有**任何已确认的明文密码或助记词。也就是说，虽然我们掌握了钱包文件和地址，但“打开钱包”这一步还没有完成。

整个推进过程目前停留在“资产确认 + 格式识别 + 密码状态核实”阶段，尚未进入资金动用环节。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共 **1 笔**，发生在 **2014-05-25 03:34:19**。这是该地址唯一一次主动支出。
- **转入（receive）**：共 **8 笔**，最后一笔发生在 **2026-03-10 23:40:41**。说明该地址在 2026 年仍有收入。
- **近期活跃度**：近 30 天内转出 **0** 笔、转入 **0** 笔，即当前处于静默期。
- **解读**：该钱包在 2014 年有过一次转出后，长期以“收币”为主，且 2026 年 3 月仍有一笔入账。结合余额约 1.095 BTC，可以判断这是一个“有存量、偶有入账”的地址，而非被清空的废弃钱包。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额状态**：当前余额 **1.09503876 BTC**，业务标注为“余额很小（≤阈值）”为 **否**。即系统认为这是一笔**有实际价值**的资产，不属于“零钱/灰尘”级别。
- **密码状态**：强证据字段显示 `cracked_password/actual_password = 否`。因此，**我们尚未拿到明文密码或助记词**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **查找 2026-03-10 转入交易的来源地址**——这是最近一次入账，可能关联到钱包持有者的真实身份或使用场景。
2. **调取 2014-05-25 转出交易的收款地址**——唯一一笔支出，可能指向钱包创建者或早期关联方。
3. **核对文件名中“1,094BTC”与当前余额的差异**——文件名暗示历史曾持有约 1094 BTC，需确认是否曾有大额转出记录（当前链上仅见 1 笔转出，需复查是否数据缺失）。
4. **检查钱包文件创建时间与系统录入时间**——确认文件是否被修改过，或是否来自批量打包的旧备份。
5. **补充该地址在 2014 年之前的交易历史**——当前跨度 4312 天，但只显示 9 笔交易，需确认是否有未同步的早期记录。
6. **收集与“MEGA-BONUS”数据集相关的其他钱包**——该数据集可能包含多个钱包，横向对比有助于判断来源背景。
7. **确认钱包文件是否包含“密钥池”或“HD种子”元数据**——若存在，可能影响后续解锁策略（仅作状态确认，不涉及攻击细节）。
8. **补充钱包持有者的身份线索**——如文件名、路径中出现的域名 `fake.czb.com` 是否对应历史业务或活动。

---

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代 HD 钱包格式的假设。
- **链上交易梳理**：已完成转入/转出统计，确认有 1 笔转出、8 笔转入，且近期有入账。
- **密码状态核实**：已确认系统内**无**已验证的明文密码，后续不应再假设“密码已知”。
- **余额判定**：已确认该钱包余额 **1.095 BTC** 属于“非小额”，不应按“空钱包/灰尘地址”处理。

> 目前主要缺口在于：**密码未知**、**早期交易历史可能不完整**、**钱包来源背景不明**。建议优先补充第 6 节中的线索 1、2、3，以完善证据链。