BTC 钱包风险检测与恢复评估 #1103

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（主地址 `18fH6tk7KG998cSKXTg7v3wqLHuVu7es4i`），当前链上余额为 **6.33718357 BTC**，但**尚未获得明文密码**，且业务标注显示“余额很小”为**否**（即余额并不小），目前处于“有余额、无密码”的待解锁状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1103，名称 `MEGA-BONUS`，文件为 `18fH6tk7KG998cSKXTg7v3wqLHuVu7es4i.dat`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产规模**：链上余额 **6.33718357 BTC**，业务标注“余额很小(≤阈值)”为**否**，说明该余额在业务上被视为有意义的资产。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为**否**，即目前**没有**任何已确认的明文密码或助记词。
- **文件信息**：钱包文件大小 139,264 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，录入时间 2026-06-23，最近更新 2026-08-06。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）2 笔，最后转出时间 **2013-04-11**。
- 转入（receive）12 笔，最后转入时间 **2013-11-05**。
- 交易时间跨度 861 天，近 30 天转入/转出均为 0。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个老式 Bitcoin Core 钱包文件（BDB 格式），从文件名和路径看，它被归类为“真实”数据集，且名称带有“MEGA-BONUS”字样，推测是某个历史活动或奖励钱包。

第一步，我们做了**静态检查**：确认文件格式、大小、录入时间，并读取了链上地址的余额——发现该地址确实持有 6.33 个 BTC，并非空钱包。这排除了“余额为 0 的废弃钱包”这一常见情况。

第二步，我们**核对了交易历史**：通过 `direction` 字段，确认该钱包在 2013 年有过 12 次转入和 2 次转出，最后活动在 2013 年 11 月停止。这说明钱包在 2013 年后基本处于休眠状态，符合“老钱包、主人可能遗忘”的特征。

第三步，我们**检查了密码状态**：目前没有任何强证据表明密码已被还原。也就是说，我们虽然确认了“钱包里有币”，但**尚未跨过“拿到密码”这道坎**。所有关于密码的尝试都停留在“测试中”或“未验证”阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **12 笔**，最后一笔发生在 **2013-11-05 02:05:07**。说明该地址在 2013 年曾多次接收资金，可能是充值、奖励或归集。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2013-04-11 03:56:24**。说明该地址在 2013 年 4 月有过两次支出，之后不再转出。
- **近期活动**：近 30 天转入/转出均为 **0**，交易时间跨度 861 天，表明这是一个**长期休眠**的钱包。
- **未知项**：我们**没有**每笔交易的金额、对手地址、手续费等明细数据，因此无法判断这 6.33 BTC 是“净留存”还是“部分转出后的剩余”。如需进一步解读，需补充 `wallet_transactions` 的完整字段。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为**否**，即系统判定 6.33 BTC 不属于“小额钱包”，因此该钱包**不是**因余额过低而被放弃的类型。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 为“否”，意味着目前**没有**任何已确认的密码、助记词或私钥。所有关于“已破解”的说法均不成立，当前状态是“有余额、无密码、待解锁”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易明细**：获取 `wallet_transactions` 的完整记录（金额、时间、对手地址），用于判断 6.33 BTC 是否为历史净留存。
2. **检查钱包文件内部结构**：确认 BDB 文件中是否包含 `mkey`（加密密钥）或 `ckey` 等元数据，用于判断加密强度（仅做取证分析，不涉及攻击）。
3. **查找同名文件关联**：搜索 `MEGA-BONUS` 关键词在其它数据集或备份中是否出现，可能找到未加密的旧版本钱包。
4. **核对录入时间与更新时间差**：录入 2026-06-23，更新 2026-08-06，中间 44 天是否有过其它操作记录（如尝试记录）。
5. **查询地址历史标签**：通过区块链浏览器或内部库，确认该地址是否曾被标记为“交易所热钱包”“活动奖励池”等。
6. **检查文件路径中的 `fake.czb.com`**：确认该域名是否为测试环境，若是，则钱包可能为模拟数据，需调整预期。
7. **寻找 2013 年同期活动资料**：结合 2013 年 4 月转出、11 月转入的时间点，推测钱包用途（如空投、返利）。
8. **补充“密码提示”类字段**：若业务系统中有 `password_hint` 或 `note` 字段，优先调取。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认格式、大小、路径、时间戳，无异常。
- **链上余额核对**：已确认地址余额为 6.33718357 BTC，非空钱包。
- **交易方向统计**：已确认转入 12 笔、转出 2 笔，时间跨度 861 天，近期无活动。
- **密码状态核查**：已确认 `cracked_password` 为否，**未进行**任何“破解成功”的宣称。
- **未尝试**：未进行任何针对密码的暴力枚举、字典攻击或规则推导（合规要求下不展开），也未对文件进行破坏性修改。

> 以上所有结论均基于提供的事实字段，未做任何超出数据的猜测。如需进一步推进，请优先补充第 6 节中的线索。