BTC 钱包风险检测与恢复评估 #1252

### 1. 一句话结论
这是一枚持有 **45.51 BTC** 的 Legacy 格式比特币钱包（ID 1252），目前**尚未获得明文密码**，但链上数据显示其历史上曾活跃于 2013 至 2025 年，且近 30 天无任何交易动静，属于“有余额、待解锁”的休眠资产。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `wallet_45,5.dat`，大小 135,168 字节，格式为 `bitcoin_legacy_bdb`，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS...` 目录。
- **余额与标注**：链上余额 **45.51004781 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额**不视为小额**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有已知明文密码**。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转入 30 笔，转出 11 笔；
- 最后转出：2013-05-05；最后转入：2025-01-31；
- 近 30 天转入/转出均为 0；
- 交易跨度 4549 天（约 12.5 年）。
- **录入与更新**：录入 2026-06-23，更新 2026-08-08，数据标注日期为 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个名为 `wallet_45,5.dat` 的旧版 Bitcoin Core 钱包文件，文件头与 BDB 格式吻合，确认是 Legacy 钱包。通过读取钱包元数据，我们确认了主地址 `158jSW8...` 以及当前余额 45.51 BTC。

随后我们比对了链上交易摘要：发现该钱包在 2013 年有过 11 笔转出，之后长期沉寂，直到 2025 年 1 月出现最后一笔转入。这说明钱包在 2013 年后可能被重新启用过一次，但此后又进入休眠。

在密码层面，我们检查了钱包的加密状态，确认**没有现成的明文密码或已破解记录**。目前所有尝试都停留在“验证候选密码”阶段，尚未有成功命中。我们没有对钱包文件本身做任何破坏性修改，所有操作均为只读取证。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 30 笔，最后一笔发生在 **2025-01-31**。近 30 天转入为 0，说明近期没有新资金进入。
- **转出（send）**：共 11 笔，最后一笔发生在 **2013-05-05**。近 30 天转出为 0，说明该钱包已超过 12 年没有主动支出。
- **未知项**：我们**没有**每笔交易的金额、对手地址、手续费等明细数据，因此无法判断大额进出结构或资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额标注**：业务标注“余额很小(≤阈值)”为 **否**，即该钱包余额 **45.51 BTC 不属于小额**，值得继续投入资源。
- **明文密码**：字段 `cracked_password/actual_password` 为 **否**，即**尚未拿到明文密码**。所有关于“已破解”的说法均不成立，当前仍处于“候选密码验证中”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取交易明细**：补充 `wallet_transactions` 的完整字段（金额、时间、对手地址），用于判断资金性质。
2. **检查钱包备份文件**：在原始目录或相邻目录中查找同名 `.dat` 备份或 `.bak` 文件。
3. **查找钱包创建日志**：从文件路径 `MEGA-BONUS_BITCOIN CORE WALLETS` 推测可能来自批量生成活动，寻找配套的密码表或备注文档。
4. **核对 2025-01-31 转入来源**：该笔转入是钱包被重新启用的关键线索，需确认对手方身份。
5. **检查文件元数据**：通过文件修改时间（2026-06-23 录入）与内部 BDB 页时间戳，推断钱包最后被本地打开的时间。
6. **检索历史邮件/云盘**：若该钱包来自“MEGA-BONUS”活动，可能在历史邮件或共享网盘中存在密码提示。
7. **比对同一批次钱包**：路径中带有 `250_wallet` 字样，若同批其他钱包已被解锁，可参考其密码规律（仅作规律参考，不涉及攻击细节）。
8. **确认钱包加密算法参数**：读取 BDB 头部的加密 salt 与迭代次数，用于评估后续验证成本（仅评估，不展开具体操作）。

### 7. 已尝试方向回顾（避免重复投入）
- **已确认钱包格式与加密状态**：已完成 Legacy BDB 格式识别，确认文件完整可读。
- **已核对链上统计**：转入/转出笔数、时间跨度均已确认，排除了“近期活跃”的可能。
- **已检查明文密码字段**：确认无现成密码记录，排除了“直接读取”的路径。
- **未尝试方向**：尚未获取交易明细、未检索同批次钱包、未核对 2025 年转入来源。这些是下一步的增量信息，而非重复劳动。