BTC 钱包风险检测与恢复评估 #1049

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1049），当前链上余额为 **0.01649536 BTC**，最后活跃时间为 2014 年，近 30 天无任何转入转出记录；目前**尚未获得明文密码**，钱包仍处于待解锁状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名称 `MEGA-BONUS`，主地址 `16euRht9j5pysEQ8GSyqvWQWSVL9zmBvf6`，文件名为 `16euRht9j5pysEQ8GSyqvWQWSVL9zmBvf6.dat`（大小 81920 字节）。
- **格式与版本**：`bitcoin_legacy_bdb`，属于早期 Bitcoin Core 钱包格式（BDB 数据库）。
- **余额状态**：链上余额 0.01649536 BTC，业务标注“余额很小”为**否**（即未触发小额豁免规则）。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前没有强证据表明已拿到明文密码。
- **交易时间线**：最后转出 2014-01-31，最后转入 2014-11-07，交易跨度 284 天；转出 2 笔、转入 2 笔；近 30 天转入/转出均为 0。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-06，数据标注日期为 2026-06-23。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从钱包文件本身出发，先确认了它的格式是 `bitcoin_legacy_bdb`，这决定了后续所有处理路径都围绕早期 Bitcoin Core 钱包结构展开。文件大小 81920 字节，属于典型的小型钱包文件，通常对应少量地址和密钥记录。

接着我们核对了链上数据：该钱包在 2014 年有过 4 笔交易（2 进 2 出），之后彻底沉寂。最后转入发生在 2014-11-07，距今已超过 11 年，说明这是一个“历史遗留型”钱包，而非活跃账户。

在密码验证环节，我们尝试了常规的合规验证流程（如检查是否有已知密码字段、是否命中弱口令库等），但事实数据明确显示 `cracked_password/actual_password = 否`，因此我们**没有**宣称破解成功。目前钱包仍处于“有余额但未解锁”的状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后转入时间为 2014-11-07 05:55:28。近 30 天转入 0 笔。
- **转出（send）**：共 2 笔，最后转出时间为 2014-01-31 02:26:50。近 30 天转出 0 笔。
- **交易时间跨度**：284 天，集中在 2014 年。
- **说明**：我们只依据 `direction` 字段统计方向，不推断任何一笔交易的具体对手方或意图；如需更多细节（如交易哈希、金额明细），当前数据未同步，暂标记为“未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 0.01649536 BTC，**不等于 0**，且业务标注“余额很小”为**否**，说明它未被归入“小额免处理”类别，仍属于需要继续跟进的资产。
- **明文密码状态**：`cracked_password/actual_password` 字段为**否**，即**尚未获得明文密码**。我们不会因为余额小就误报“已破解”，也不会因为文件存在就假设密码已知。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该钱包的**交易哈希列表**（转入/转出各 2 笔），用于链上溯源和地址聚类分析。
2. 补充钱包文件对应的**地址列表及派生路径**（BDB 中可能存有多个地址）。
3. 查找 2014 年前后与该主地址有过交互的**关联地址**，判断资金来源与去向。
4. 确认钱包文件的**创建时间或首次备份时间**，辅助判断密码设置习惯。
5. 检查是否有**同名钱包（MEGA-BONUS）**在其他数据集或备份中出现过。
6. 补充该钱包的**密钥类型**（是否压缩公钥、是否包含脚本哈希地址）。
7. 尝试从**历史邮件、聊天记录、备注文件**中寻找与该钱包名相关的线索（合规渠道）。
8. 若业务允许，可申请调取**2014 年该地址的完整交易明细**（含金额与时间戳）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断格式。
- **密码字段核查**：已确认 `cracked_password/actual_password` 为否，不必再反复检查该字段。
- **余额与业务标注**：已确认余额非零、未触发小额豁免，后续无需再纠结“是否归零”。
- **交易活跃度**：已确认近 30 天无任何转入转出，且最后活跃在 2014 年，不必再等待新交易出现。
- **基础统计**：转入/转出笔数（各 2 笔）和时间跨度（284 天）已统计完毕，无需重复计算。