BTC 钱包风险检测与恢复评估 #1337

### 1. 一句话结论
这是一个名为“MEGA-BONUS / MINERWALLET50BTC”的比特币 Legacy 格式钱包（ID 1337），当前余额为 50.00253144 BTC，链上记录显示其历史上只进不出（18 笔转入、0 笔转出），但截至目前我们**尚未获得该钱包的明文密码**，破解工作仍在进行中。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1E4ad5bA8HgbqxsPYpmDtVRNBRF2XfqTns`，文件名为 `MINERWALLET50BTC-1E4ad5bA8HgbqxsPYpmDtVRNBRF2XfqTns.dat`，格式为 `bitcoin_legacy_bdb`。
- **资产规模**：当前余额 50.00253144 BTC，业务标注为“余额不小”（未触发 ≤ 阈值标记）。
- **录入与更新**：录入时间 2026-06-23 00:44:01，最近一次更新 2026-08-05 22:11:36，数据标注日期为 2026-06-23 00:57:39。
- **文件信息**：文件大小 57,344 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 路径下的审查目录中。
- **链上交易摘要**（依据 `wallet_transactions.direction` 字段）：
- 转入笔数：18 笔；转出笔数：0 笔。
- 最后转入时间：2026-05-22 13:49:48；最后转出时间：未知。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度：2091 天（约 5.7 年）。
- **密码状态**：`cracked_password / actual_password` 字段为“否”，即**没有强证据表明已拿到明文密码**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入审查流程的，当时系统记录下它的文件名、路径和格式，并打上了“MEGA-BONUS / MINERWALLET50BTC”的标签——从名字看，它很可能是一份历史遗留的“矿工奖励”或“活动奖金”钱包。

我们首先核对了链上数据，发现这个地址从诞生起就只接收比特币，从未转出过任何一笔。18 笔转入记录分布在约 5.7 年的时间跨度里，最后一笔入账停在 2026 年 5 月 22 日。这说明它更像一个“蓄水池”或“冷存储”地址，而不是日常交易钱包。

接着我们检查了钱包文件本身。它是一个 57KB 的 Legacy BDB 格式文件，属于比特币早期常用的钱包结构。我们尝试了常规的合规验证流程（例如检查文件完整性、确认地址与余额是否匹配），但**没有触发任何“密码已确认”的强证据**。也就是说，我们目前能确认“这 50 个 BTC 确实在这个地址上”，但无法确认“我们能打开这个钱包文件”。

截至 2026 年 8 月 5 日最后一次更新，钱包状态没有变化：余额未动，交易记录未增加，密码状态依旧为“否”。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 18 笔，最后一笔发生在 2026-05-22 13:49:48。近 30 天转入 0 笔，说明该地址近期没有新的资金流入。
- **转出（send）**：共 0 笔。最后转出时间：未知（因为不存在转出记录）。
- **整体判断**：这是一个“只进不出”的地址，资金沉淀明显。交易时间跨度 2091 天，但近期完全静默，符合“长期持有”或“遗忘/封存”的特征。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 50.00253144 BTC，**未**被标记为“余额很小（≤阈值）”。因此，它属于高价值目标，业务上值得继续投入资源。
- **明文密码状态**：根据 `cracked_password / actual_password` 字段，当前为“否”。**我们尚未拿到明文密码，也没有任何验证成功的记录**。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取钱包文件的来源信息**：这个 `.dat` 文件最初是从哪台设备、哪个备份介质中提取的？是否有对应的原始密码提示或笔记？
2. **查找同批次钱包**：路径中带有 `fake.czb.com` 和 `review` 目录，建议排查同目录下是否有其他钱包文件，可能存在相同密码规律（仅作关联分析，不涉及攻击）。
3. **补充钱包创建时间**：目前只有录入时间，若能拿到文件系统元数据（如创建时间、修改时间），有助于推测密码设置年代。
4. **核对 18 笔转入的来源地址**：这些转入方是否属于同一实体？是否有交易所标签或矿池标签，可能指向钱包主人的身份线索。
5. **检查是否有旧版备份**：Legacy BDB 格式常见于 2015-2017 年，建议寻找该时期的旧电脑、旧硬盘或云备份。
6. **确认“MEGA-BONUS / MINERWALLET50BTC”命名的业务背景**：这看起来像活动奖励钱包，可向业务方询问该活动的规则、发放记录和内部备注。
7. **调取钱包文件的访问日志**：如果该文件曾被其他工具打开过，可能留下时间戳或软件版本信息，有助于缩小密码策略范围。
8. **补充链上交易详情**：目前只有方向统计，建议拉取每笔转入的金额和时间，判断是否为定期打款（如矿工工资），从而推测钱包用途。

### 7. 已尝试方向回顾（避免重复投入）
- **链上交易分析**：已完成方向统计和活跃度判断，确认该地址只进不出、近期静默。**无需重复扫描交易记录**。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，且文件大小正常（57KB），未发现文件截断或损坏迹象。**无需再次校验文件完整性**。
- **密码状态核查**：已确认 `cracked_password` 字段为“否”，说明常规的密码验证流程未通过。**不要重复执行相同的验证尝试**。
- **业务标注核对**：已确认该钱包不属于“余额很小”的忽略名单，属于重点目标。**无需重新评估优先级**。

> 安全提示：以上复盘仅基于现有字段进行合规分析，不涉及任何密码猜测或攻击细节。如需继续推进，请优先补充“来源线索”和“业务背景”，而非重复技术尝试。