BTC 钱包风险检测与恢复评估 #1112

### 1. 一句话结论
这是一枚**比特币 Legacy 格式钱包**（钱包ID 1112），当前余额约 **0.00122539 BTC**，链上活动极少（仅1笔转出、3笔转入），且**尚未获得明文密码**；业务上因余额极小被标注为“低价值”，但“余额小”与“密码是否已破解”是两件独立的事。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：名称 `MEGA-BONUS`，主地址 `15KeSdnNDVrCQ62TGFRNEx3xedKwXMpvn5`，文件为 `bitcoin_legacy_bdb` 格式，大小 229,376 字节。
- **时间线**：录入于 2026-06-23，最后更新于 2026-08-06；链上交易时间跨度 3059 天（约 8.4 年）。
- **余额状态**：当前余额 0.00122539 BTC，业务系统标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有强证据表明已拿到明文密码**。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：1 笔，最后发生在 **2014-01-19**。
- 转入（receive）：3 笔，最后发生在 **2022-06-03**。
- 近30天转出/转入均为 0 笔。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_15KeSdnNDVrCQ62TGFRNEx3xedKwXMpvn5.dat` 的钱包文件入手。文件本身是标准的 Bitcoin Legacy 格式（BDB 数据库），大小约 224 KB，说明内部结构完整，不是空壳文件。

我们首先核对了钱包的“身份信息”——主地址与文件名一致，确认这是同一枚钱包。随后我们拉取了链上交易摘要，发现这枚钱包的活动非常“安静”：最早一笔转出发生在 2014 年，之后只有零星转入，最后一次转入在 2022 年，此后近 30 天没有任何动静。

在密码验证环节，我们检查了系统内是否已有“已知密码”的强证据。结论是**没有**——即我们尚未拿到这枚钱包的明文密码或助记词。业务系统之所以将其标记为“余额很小”，纯粹是因为当前 BTC 余额低于阈值，这与“密码是否已破解”无关，两者不能混淆。

目前我们处于“已确认钱包结构、已梳理交易历史、但密码验证未通过”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2014-01-19 20:27:23**。这是该钱包唯一一次主动支出，距今已超过 10 年。
- **转入（receive）**：共 3 笔，最后一笔在 **2022-06-03 10:55:16**。说明该地址在 2022 年仍收到过资金，但此后未再活动。
- **近30天**：转出 0 笔，转入 0 笔——**当前处于完全静默状态**。
- **未知项**：我们**没有**每笔转入/转出的具体金额与对手地址数据（未同步），因此无法判断这 0.00122539 BTC 是来自哪一笔转入，也无法确认转出时是否清空了钱包。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前 BTC 余额 0.00122539 的**自动判定**，仅代表“经济价值低”，不代表钱包已失效或已清空。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得明文密码**。我们没有任何强证据表明密码已被还原或验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充链上交易明细**：拉取该地址全部转入/转出的金额、对手地址、交易哈希，确认余额来源与历史流向。
2. **核对 2014 年转出记录**：那笔唯一的转出是否将大部分资金转走？若是，当前余额可能只是“零头”。
3. **查找钱包文件来源**：`MEGA-BONUS` 名称暗示可能来自某个活动/奖励计划，尝试在业务系统内检索同名记录。
4. **检查是否有备份文件**：同一目录或备份盘中是否存在 `.dat` 文件的旧版本或同名副本。
5. **确认录入时的上下文**：2026-06-23 录入时是否有附带说明、工单或移交记录。
6. **验证地址归属**：通过区块链浏览器确认该地址是否在其他钱包文件中重复出现。
7. **补充密码线索材料**：若存在密码提示、历史口令表或用户自述，请提供（注意脱敏）。
8. **评估是否放弃**：鉴于余额极小且密码未破，可结合人力成本决定是否继续投入。

### 7. 已尝试方向回顾（避免重复投入）
- **结构识别**：已确认是 Bitcoin Legacy BDB 格式，文件完整，无需重复检测。
- **链上统计**：已拉取方向与时间跨度，但**未拉取逐笔金额与地址**，这是下一步重点，不是重复工作。
- **密码验证**：已确认系统内无“已知密码”强证据，**不要假设已破解**；若未来有新线索（如用户提供的口令片段），可重新验证。
- **业务标注**：已明确“余额小”是自动阈值判断，与破解状态无关，后续无需再纠结该标注含义。