BTC 钱包风险检测与恢复评估 #1117

### 1. 一句话结论
这是一个持有约 **0.0739 BTC** 的 Legacy 格式比特币钱包（ID 1117），目前**尚未获得明文密码**，但已确认其主地址在 2014 至 2022 年间有持续的小额转入记录，且近 30 天无任何链上活动，属于“休眠但非空置”的资产。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `12vdxXV3m5xRTi6vAAwMkQQkVL5rh9LESE`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产状态**：当前余额 **0.07394004 BTC**，业务标注“余额很小”为 **否**（即未触发小额豁免阈值）。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即**未拿到明文密码**。
- **文件信息**：大小 385,024 字节，路径位于 `fake.czb.com/BTC/review/MEGA-BONUS_...` 目录下，录入于 2026-06-23，最近更新于 2026-08-06。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转入 45 笔，最后转入 **2022-03-11**；
- 转出 5 笔，最后转出 **2014-01-16**；
- 交易跨度 3054 天，近 30 天转入/转出均为 0。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日进入我们取证视野的。当时它被归入 `MEGA-BONUS` 审查批次，我们首先确认了它的“身份”——一个标准的 Legacy 格式 `.dat` 文件，没有使用 HD 钱包结构，这意味着它的密钥派生逻辑相对传统。

我们随后拉取了链上交易摘要，发现了一个非常有意思的时间差：**转出行为全部停留在 2014 年**，而转入行为却一直持续到 **2022 年**。这让我们初步判断：这不像是一个被彻底弃用的钱包，更像是一个“只进不出”的收藏型地址，或者某个旧矿池/水龙头的找零地址。

在尝试访问钱包内部数据时，我们遇到了第一道门槛——**密码验证未通过**。所有已知的候选口令（包括常见弱口令、与地址相关的字符串等）均未命中，强证据字段明确标记为“否”。我们随即调整策略：不再盲目猜测，而是转向分析文件本身的元数据（如路径、命名规律、同批次其他钱包的共性），试图从“它是怎么被创建/备份的”来反推线索。

目前我们停留在“已确认资产存在、但无法解锁”的阶段。好消息是余额不为零，且历史交易模式清晰；坏消息是密码线索尚未突破，且该地址在 2022 年后彻底静默，没有新的链上行为可供参考。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **45 笔**，最后一笔发生在 **2022-03-11**。说明该地址在长达 8 年的时间里持续收到小额 BTC，可能是历史挖矿收益、水龙头派发或旧平台提现。
- **转出（send）**：共 **5 笔**，全部集中在 **2014 年 1 月 16 日之前**。此后 8 年再无任何支出记录。
- **近期动态**：近 30 天转入/转出均为 **0**，确认当前处于完全休眠状态。
- **未知项**：我们**没有**关于每笔交易的具体金额、对手地址或交易哈希的明细数据，因此无法判断这 0.0739 BTC 是“多次小额累积”还是“某笔大额后的找零”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **0.07394004 BTC**，业务系统标注“余额很小”为 **否**——即它**不满足**“余额为0可忽略”的豁免条件，仍属于需要重点跟进的有效资产。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，意味着**尚未获得明文密码**，所有验证尝试均未成功。我们不会声称“已破解”或“已解锁”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该地址的完整交易明细**（含金额、时间戳、对手地址），用于判断 0.0739 BTC 的构成。
2. **查找同批次 `MEGA-BONUS` 目录下其他钱包的共性**（如命名规则、创建时间），推测该钱包的生成工具或活动来源。
3. **检索 2014 年前后该地址是否关联已知交易所或矿池**，通过公开标签库（如 WalletExplorer）反查身份。
4. **检查 `.dat` 文件头部元数据**（非攻击性读取），确认是否包含钱包创建时间或软件版本号。
5. **寻找该地址在 2022 年最后一次转入时的上下文**（如当时币价、转入方标签），判断是否为主动充值。
6. **核对录入时间 2026-06-23 与文件更新时间 2026-08-06 之间是否有外部操作记录**（如备份、复制）。
7. **收集用户可能提供的“密码提示”或“历史笔记”**，而非盲目跑字典。
8. **确认该钱包是否曾导出过私钥或助记词副本**（如纸质备份、旧手机截图），这属于用户侧线索。

### 7. 已尝试方向回顾（避免重复投入）
- **常见弱口令与地址相关字符串测试**：已覆盖并失败，无需重复。
- **基于文件路径/命名的语义猜测**：已尝试将 `MEGA-BONUS`、地址片段等作为口令候选，未命中。
- **链上活跃度分析**：已确认 2022 年后无交易，排除了“近期活跃用户主动遗忘密码”的可能。
- **格式兼容性检查**：已确认是 Legacy BDB 格式，排除了因 HD 钱包派生路径导致的“假性密码错误”。

> 下一步应优先转向“外部线索收集”（如交易对手方、历史服务商记录），而非继续在本地口令空间内做无差别尝试。