BTC 钱包风险检测与恢复评估 #987

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 987），当前链上余额为 **0.06271848 BTC**，属于“非零余额”且“未标注为小额”的待处理对象；截至数据更新日，**尚未获得明文密码**，破解工作仍在推进中。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：名称 `MEGA-BONUS`，主地址 `15zrzE1psJJGjXyPiLkLTbiqwcjvE4hu7d`，文件为 `bitcoin_legacy_bdb` 格式（BDB 数据库，Legacy 地址）。
- **文件信息**：路径位于 `fake.czb.com/BTC/real/` 目录下，文件名带哈希后缀 `a440a3dd164e`，文件大小 **458,752 字节**（约 448 KB）。
- **时间线**：录入时间 2026-06-23，数据标注日期 2026-06-23，最近更新 2026-08-06。
- **余额状态**：当前余额 0.06271848 BTC；业务标注“余额很小（≤阈值）”为 **否**，即不因金额小而被豁免处理。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即无强证据表明已拿到明文密码。
- **链上活动**：转出 8 笔、转入 34 笔；最后转出 2013-12-09，最后转入 2025-11-18；近 30 天转入/转出均为 0；交易跨度 4382 天（约 12 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个约 448 KB 的 `.dat` 文件，属于典型的 Bitcoin Core Legacy 钱包数据库。文件名里的 `MEGA-BONUS` 和地址前缀暗示它可能来自某个历史活动或奖励场景，但这一点目前只是命名推测。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`，这意味着它使用老式 Berkeley DB 存储密钥和地址。随后我们核对了链上数据：这个地址从 2013 年就开始有转出记录，但最近一次转入发生在 2025 年 11 月，说明它并非完全沉睡，只是近期没有动静。

在尝试读取钱包时，我们遇到了密码保护。目前系统内没有任何字段能证明密码已被还原——`cracked_password` 明确为“否”。我们也没有发现任何“余额为 0”的业务豁免标记，因此这个钱包仍处于“待破解”状态，而非“已结案”。

简单说：**我们确认了钱包真实存在、有历史交易、有非零余额，但密码这道门还没打开。**

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **8 笔**，最后一笔发生在 **2013-12-09**。说明该地址在早期（2013 年）有过主动支出行为，之后 12 年再无转出。
- **转入（receive）**：共 **34 笔**，最后一笔发生在 **2025-11-18**。说明该地址长期接收资金，最近一次接收距今（数据更新日 2026-08-06）约 9 个月。
- **近期动态**：近 30 天转入 0 笔、转出 0 笔，当前处于静默期。
- **未知项**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断“大额进出”或“资金归集”等模式；如需进一步分析，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 0.06271848 BTC，业务标注“余额很小（≤阈值）”为 **否**。也就是说，它**不因金额小而跳过处理**，必须继续推进。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**尚未拿到明文密码**。我们没有任何证据表明密码已被验证成功，所有“已破解”的说法均不成立。
- **结论**：当前状态是“有余额、无密码、待处理”，不是“已解决”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取完整交易明细**：拉取该地址全部 42 笔交易的金额、时间、对手地址，判断资金流向是否指向已知交易所或服务商。
2. **检查文件名哈希后缀**：`a440a3dd164e` 可能是文件去重哈希或批次号，尝试在原始数据源中检索该哈希对应的其他文件或备注。
3. **搜索钱包名称线索**：`MEGA-BONUS` 可能对应某个历史活动、空投或奖励计划，检索公开资料或站内历史工单。
4. **核对录入来源**：确认该 `.dat` 文件的上传者、上传渠道、关联案件编号，判断是否有附带说明文档。
5. **检查同批次钱包**：路径中 `fake.czb.com/BTC/real/` 下可能还有其他钱包文件，对比它们的命名规律和密码策略。
6. **分析 2013 年转出行为**：最后一笔转出在 2013-12-09，若能获取该笔交易的目标地址，可能关联到当时使用的服务或钱包软件版本。
7. **验证文件完整性**：确认 458,752 字节的文件是否包含多余数据（如备注、元数据），尝试用合规工具解析 BDB 结构中的非密钥字段。
8. **补充密码线索**：若原始上传者曾提供任何密码提示、键盘布局、语言环境信息，请补充；没有则明确标注“无密码线索”。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了 SegWit 或 Descriptor 钱包格式。
- **余额与业务判断**：已确认非零余额、非小额豁免，排除了“因金额小直接关闭”的路径。
- **链上活跃度检查**：已确认近 30 天无交易，排除了“近期活跃需优先处理”的紧急度。
- **密码验证**：系统内无任何 `cracked_password` 证据，说明此前尝试均未成功；**不建议重复跑同一套字典或规则**，除非有新的密码线索（如生日、键盘模式、历史密码片段）加入。
- **未尝试方向**：尚未进行交易对手分析、文件名哈希溯源、同批次文件对比——这些是下一步重点。