BTC 钱包风险检测与恢复评估 #1325

### 1. 一句话结论
这是一枚持有 **70.01026417 BTC** 的 Legacy 格式比特币钱包（ID 1325），当前**尚未获得明文密码**，但链上数据显示其历史上曾活跃转入、沉寂多年后于 2026 年又出现一笔转入，目前处于“有余额、无密码、待补充线索”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS / WALLET70.010BTC-17w8w8...`，主地址 `17w8w8ZHdqkSYFkhAMfHJaEqCHgHm9egKv`，格式为 `bitcoin_legacy_bdb`（BDB 数据库文件）。
- **余额与标注**：余额 **70.01026417 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即该余额**未被判定为小额/低价值**。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有已知明文密码**。
- **文件信息**：文件大小 106,496 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/fake/...`，录入时间 2026-06-23，最近更新 2026-08-05。
- **链上交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）6 笔，最后转出 **2014-03-01**；
- 转入（receive）21 笔，最后转入 **2026-03-05**；
- 近 30 天转入/转出均为 **0**；
- 交易时间跨度 **4475 天**（约 12.3 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个名为“MEGA-BONUS”的 Legacy 钱包文件，从文件命名和路径看，它被标记为“70.010BTC”的候选目标。第一步是确认钱包格式与余额：通过解析 BDB 文件，我们确认了主地址和当前余额（70.01026417 BTC），并核对了业务标注——它**不是**“余额很小”的类别，因此值得继续投入。

接着我们拉取了链上交易摘要。数据显示这个钱包在 2014 年 3 月前有过 6 笔转出，之后长期沉寂；但**2026 年 3 月 5 日又出现了一笔转入**，说明该地址在近期仍被使用或有人向它打款。近 30 天无任何活动，说明它不是高频活跃钱包。

在密码层面，我们检查了所有已知凭证字段，结论是**没有现成密码**。这意味着我们目前处于“有币但打不开门”的状态，所有后续工作都必须围绕“如何合法、合规地找回或验证密码”展开，而不是猜测或暴力尝试。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **6 笔**，最后转出时间为 **2014-03-01**。说明该钱包在 2014 年之前有过支出行为，之后停止转出。
- **转入（receive）**：共 **21 笔**，最后转入时间为 **2026-03-05**。说明该地址在 2026 年仍收到过资金，这是最近一次链上活动。
- **近 30 天**：转入 0 笔、转出 0 笔，当前处于静默状态。
- **未同步/未知**：我们**没有**每笔交易的金额、对手地址、时间戳明细，因此无法判断 70 BTC 是何时、由哪些交易累积而成，也无法判断 2026 年那笔转入的金额大小。这部分需要补充 `wallet_transactions` 的完整明细才能进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 **70.01026417 BTC**，业务标注“余额很小(≤阈值)”为 **否**，即**不适用**“余额为 0 / 小额放弃”的规则，仍属于高价值目标。
- **明文密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**尚未获得任何明文密码**，也没有任何“验证成功”的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取完整交易明细**（每笔的 txid、金额、时间、对手地址），用于还原 70 BTC 的累积路径和 2026 年转入来源。
2. **检查钱包文件元数据**（如 BDB 内部时间戳、创建时间），判断钱包生成工具和可能的密码设置习惯。
3. **查找同名/同路径关联文件**（如 `MEGA-BONUS` 相关的备份、说明文档、历史导出），可能包含密码提示或旧版口令。
4. **核对录入来源**：确认该钱包文件最初由谁、通过什么渠道提交（如用户找回、司法扣押、冷备份移交），以获取合法授权和背景信息。
5. **排查 2014 年转出交易的对手地址**，可能关联到钱包所有者的其他地址或交易所账户，从而获得身份线索。
6. **检查 2026-03-05 转入交易的来源**，若来自已知交易所或托管方，可尝试通过合规渠道联系对方确认钱包归属。
7. **验证钱包文件完整性**：确认文件未被截断或损坏，必要时重新导出一次原始 `.dat` 文件。
8. **补充“密码提示/部分密码”类字段**（如用户曾提供过片段、键盘布局线索），这是唯一能加速验证的合规途径。

### 7. 已尝试方向回顾（避免重复投入）
- **凭证字段检查**：已确认 `cracked_password/actual_password` 为空，说明**没有现成密码可用**，无需重复搜索已知密码库。
- **业务标注筛选**：已确认该钱包**不属于“余额很小”**，因此不应按低价值钱包处理，也不应过早放弃。
- **链上活动初筛**：已拉取转入/转出笔数与时间跨度，确认了“2014 年转出、2026 年转入”的基本轮廓，但**尚未拉取逐笔明细**，因此下一步不应再停留在汇总统计层面，而应深入明细。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，排除了 SegWit 或其他格式的干扰，后续无需重复做格式探测。