BTC 钱包风险检测与恢复评估 #947

### 1. 一句话结论
这是一个持有约 **14.775 BTC** 的 Legacy 格式比特币钱包（ID 947），链上活动集中在 **2013年4月24日至26日**（共3笔转入、1笔转出），此后长期沉寂；目前**尚未获得明文密码**，且**业务标注“余额很小”为否**，即该余额在业务上被视为有意义的资产，仍需继续推进取证。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 947，币种 BTC，主地址 `17fvgGZGFt5CBrxWbD9k5Fq8YA7nfRx9v8`。
- **余额与业务标注**：余额 **14.77500000 BTC**；业务标注“余额很小(≤阈值)”为 **否**，说明该余额未被判定为低价值。
- **钱包格式与文件**：`bitcoin_legacy_bdb`，文件名 `wallet_14,775BTC_wallet_14,775.dat`，大小 **57,344 字节**，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下的 `MEGA-BONUS` 目录。
- **录入与更新时间**：录入于 2026-06-23 00:37:03，更新于 2026-08-06 07:13:00，数据标注日期为 2026-06-23 00:57:20。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）笔数：**1**；最后转出时间：**2013-04-24 14:05:40**。
- 转入（receive）笔数：**3**；最后转入时间：**2013-04-26 02:27:02**。
- 近30天转出/转入笔数均为 **0**；交易时间跨度仅 **1 天**。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即目前**没有**已确认的明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份名为 `MEGA-BONUS_wallet_14,775BTC` 的 Legacy 钱包文件入手。首先确认了它的基本身份：这是一个比特币 Legacy 格式（BDB 存储）的钱包，文件大小约 56 KB，内部记录的主地址与余额信息一致。

接着，我们核对了链上交易历史。数据显示，这个钱包在 **2013年4月24日** 发生了一笔转出，随后在 **4月25日至26日** 之间收到三笔转入，之后便再无任何链上活动。这与“钱包在早期创建、短期使用后闲置”的特征吻合。

在密码层面，我们检查了现有数据中是否已存在“已知密码”的强证据。根据 `cracked_password` 字段，目前结果为 **否**，说明我们尚未拿到可验证的明文密码，也没有任何字段表明“破解成功”。因此，当前阶段仍处于“已定位目标、已梳理交易脉络、但未突破口令”的状态。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **3 笔**，最后一笔发生在 **2013-04-26 02:27:02**。这 3 笔构成了当前余额的主要来源。
- **转出（send）**：共 **1 笔**，发生在 **2013-04-24 14:05:40**，早于最后一笔转入时间。
- **近期活动**：近 30 天转出与转入笔数均为 **0**，说明该钱包自 2013 年后基本处于休眠状态。
- **未同步/未知**：除上述统计字段外，我们没有更多关于交易金额、对手地址或交易哈希的明细数据；若需进一步分析资金流向，需补充 `wallet_transactions` 的完整记录。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务上**不认为** 14.775 BTC 是低价值/可忽略的余额。这与“余额为0”是完全不同的概念——当前余额明确非零。
- **是否拿到明文密码**：**否**。`cracked_password / actual_password` 字段为否，意味着我们**没有**已确认的密码、助记词或私钥。所有关于“已破解”的说法均不成立，目前仍处于“未获得明文密码”的状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：获取该地址的完整交易列表（含金额、对手地址、交易哈希），以验证 3 笔转入与 1 笔转出的具体流向。
2. **检查钱包文件内部元数据**：在合规前提下，查看 BDB 文件中是否包含非口令类的提示信息（如钱包创建时间、备注字段）。
3. **排查同批次文件**：该文件位于 `MEGA-BONUS` 目录下，建议检查同目录其他钱包文件是否共享相似命名规律或口令线索。
4. **核对录入时间与数据标注时间**：录入时间（06-23 00:37）与数据标注时间（06-23 00:57）仅差 20 分钟，可确认当时是否执行过初步检查及其结果。
5. **寻找历史备份或导出记录**：若该钱包曾通过其他工具导出过密钥或地址，可能留有备份文件。
6. **确认“MEGA-BONUS”业务背景**：该目录名暗示可能与某次活动/奖励相关，可向业务方核实该钱包的来源场景。
7. **检查是否有配套的密码提示文件**：在数据集根目录或相邻路径查找 `readme`、`note`、`password_hint` 等文件。
8. **评估余额价值与投入产出比**：当前余额约 14.775 BTC，需结合最新币价评估继续投入取证的成本是否合理。

---

### 7. 已尝试方向回顾（避免重复投入）
- **链上活动梳理**：已完成——确认了交易笔数、方向与时间跨度，结论为“2013年短期活跃后休眠”。
- **密码状态核查**：已完成——确认 `cracked_password` 为否，未获得明文密码。
- **业务标注核对**：已完成——确认“余额很小”为否，即余额具有业务价值。
- **文件基础信息提取**：已完成——确认格式、大小、路径与命名规律。
- **未尝试/不建议重复**：在未获得新线索前，不建议再次对同一文件进行重复的暴力猜测或字典尝试；应优先补充上述第 6 节中的外部线索（如交易明细、同批文件、业务背景）。