BTC 钱包风险检测与恢复评估 #994

### 1. 一句话结论
钱包 **994（BTC，主地址 1EM7FJV7L3CJZuH6SFTpYnmbMi9RXKdwK6）** 当前余额为 **18.17001500 BTC**，属于“非小额”钱包；但截至目前 **尚未获得明文密码**（已知密码存在 = 否），且业务层面 **未标记为“余额为0”**，因此该钱包仍处于“有余额、待解锁”状态。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：名称 `MEGA-BONUS`，文件 `MEGA-BONUS_1EM7FJV7L3CJZuH6SFTpYnmbMi9RXKdwK6.dat`，格式 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **文件信息**：路径位于 `fake.czb.com/BTC/real/` 目录下，大小 **81920 字节**，录入时间 2026-06-23，最近更新 2026-08-06。
- **余额状态**：当前余额 **18.17001500 BTC**；业务标注“余额很小(≤阈值)” = **否**，即余额不小。
- **密码状态**：`cracked_password/actual_password` 字段 = **否**，即没有强证据表明已拿到明文密码。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入（receive）22 笔，最后转入时间 **2025-06-04 17:17:21**；
- 转出（send）仅 1 笔，最后转出时间 **2014-02-20 07:19:08**；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 **5254 天**（约 14.4 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初拿到的是一个老式 Bitcoin 钱包文件（`.dat`），从文件名和路径看，它被归入“真实钱包”数据集，且名称带有 `MEGA-BONUS`，推测可能与某个历史活动或奖励相关。

第一步，我们核对了钱包的基本属性：格式为 `bitcoin_legacy_bdb`，文件大小 81920 字节，说明这是一个结构完整、非空壳的钱包文件。随后我们检查了链上交易摘要，发现这个钱包的“性格”非常鲜明：**历史上只转出过 1 笔（2014 年），但转入多达 22 笔，且最后一笔转入发生在 2025 年 6 月**。这说明它长期处于“只进不出”的状态，直到最近一年仍有资金进入。

接着我们核对了余额与业务标注：余额 18.17 BTC，且未被标记为“小额”，因此从业务角度，这是一个值得继续投入资源的目标。但关键卡点在于：**我们目前没有拿到明文密码**（已知密码存在 = 否）。这意味着，虽然钱包文件在手、余额可观，但解锁工作尚未成功。

整个推进过程可以概括为：**确认文件有效 → 确认余额有价值 → 确认交易活跃度 → 确认密码未破**。目前停在“密码未破”这一环。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **22 笔**，最后一笔发生在 **2025-06-04**。说明该地址在 2025 年仍有接收资金的行为，并非完全沉寂。
- **转出（send）**：仅 **1 笔**，发生在 **2014-02-20**。此后约 11 年没有任何转出记录。
- **近期动态**：近 30 天转入/转出均为 **0**，即最近一个月没有链上活动。
- **整体画像**：这是一个“长期囤积、极少动用”的地址。2014 年有过一次转出后，转入持续到 2025 年，但近期已静止。
- **未同步/未知项**：目前没有关于这 22 笔转入的具体来源地址、金额分布、以及那 1 笔转出的去向明细；这些字段未在本次数据摘要中提供，暂记为“未知”。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额为0”**：**否**。该钱包余额为 18.17 BTC，业务上明确判定为“非小额”，因此不存在“余额为0所以放弃”的情况。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段为“否”，即目前 **没有强证据表明已获取明文密码**。我们只能说“仍在测试/未成功”，不能声称已解锁。
- **结论**：这是一个“有余额、未破解”的钱包，属于需要继续投入资源的目标。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件的完整哈希与元数据**（如 `mkey` 加密参数、`keypool` 等），用于确认加密强度与可能的密码构造来源。
2. **调取 22 笔转入交易的完整明细**（时间、金额、对手地址），判断资金来源是否与钱包名称 `MEGA-BONUS` 相关（如活动奖励、空投等）。
3. **调取 2014 年那 1 笔转出的去向地址**，看是否关联到其他已知钱包或交易所地址，可能反推密码设置习惯。
4. **查找同目录下其他钱包文件**（`fake.czb.com/BTC/real/` 下是否有兄弟文件），看是否存在同一批创建的钱包，密码可能复用。
5. **核对钱包录入时间（2026-06-23）与最后转入时间（2025-06-04）的关系**，确认该文件是否在转入后才被收集入库。
6. **检查钱包文件是否包含“备注”或“标签”字段**（老式 BDB 钱包可能存有自定义备注），可能直接透露密码线索。
7. **补充该钱包在 2025-06-04 转入前后的链上行为**（如是否伴随其他地址活动），判断是否为主动归集。
8. **确认业务方是否有该钱包的“历史创建人/管理员”信息**，从运营侧获取密码重置或找回的合规途径。

---

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件检查**：已确认文件格式、大小、路径、版本，均为有效老式 BDB 钱包，非空文件。
- **余额与业务标注核对**：已确认余额 18.17 BTC，非小额，业务上未放弃。
- **交易统计梳理**：已明确转入 22 笔、转出 1 笔、近期无活动，但尚未深入逐笔分析。
- **密码状态确认**：已确认当前无明文密码证据，未进入“已破解”状态。
- **未尝试/需避免重复**：不要再次仅停留在“文件是否有效”层面；也不要重复做“余额是否为0”的判断（已明确非0）。下一步应聚焦在 **交易对手分析、文件元数据深挖、同批钱包关联** 上，而不是重复基础核对。