BTC 钱包风险检测与恢复评估 #1434

### 1. 一句话结论
这是一个余额极小的 BTC 遗留钱包（ID 1434），目前**尚未获得明文密码**，链上仅有 2 笔历史转入、无任何转出记录，整体处于“低价值、待补充线索”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `19J73wCrxRcVGkGqStvrz6s3SakgztAk3v`，文件名为 `MEGA-BONUS_4.00036597.dat`，格式为 `bitcoin_legacy_bdb`（老版本 Bitcoin Core 钱包）。
- **余额与标注**：当前余额 `0.00036597 BTC`，业务系统已标注“余额很小（≤阈值）”。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前**没有**任何明文密码或助记词被确认。
- **文件信息**：大小 69632 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下，录入时间为 2026-06-23，最近一次更新为 2026-08-05。
- **链上交易**：`wallet_transactions.direction` 字段显示——转入（receive）2 笔，转出（send）0 笔；最后转入时间 2022-05-19 19:04:51；近 30 天无任何转入或转出；交易时间跨度显示为 0 天（可能指统计窗口内无新交易）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入取证清单的。当时我们拿到的是一个老式 Bitcoin Core 钱包文件（BDB 格式），文件名里的 `4.00036597` 与当前余额吻合，说明这个文件很可能就是该地址对应的本地钱包数据。

我们首先核对了链上记录：这个地址只在 2022 年 5 月 19 日有过两笔转入，之后再无动静。结合业务系统“余额很小”的标注，我们判断这是一个历史遗留的“零钱钱包”，大概率是早期活动后就被搁置了。

在密码方面，我们检查了所有已知的密码线索字段，结论是**“已知密码存在”为否**。这意味着我们手里没有任何现成的明文密码或助记词，所有关于“密码已破解”的说法都不成立。目前我们只是完成了钱包文件的登记、格式识别和链上行为梳理，尚未进入任何实质性的解锁阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **2 笔**，最后一笔发生在 **2022-05-19 19:04:51**。近 30 天转入笔数为 0。
- **转出（send）**：共 **0 笔**。近 30 天转出笔数为 0。
- **最后转出时间**：**未知**（因为转出笔数为 0，不存在该时间点）。
- **解读**：该地址历史上只进不出，且 2022 年 5 月后再无任何链上活动。结合余额极小，推测是某次操作后的找零或小额测试地址，之后被弃用。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小（≤阈值）”，这是基于当前余额 `0.00036597 BTC` 的**价值判断**，仅用于提示该钱包经济价值低，**不代表**密码已获取或钱包已解锁。
- **密码状态**：字段 `cracked_password/actual_password = 否`，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均无事实依据，当前仍处于“未解锁”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **查找钱包文件来源**：确认 `MEGA-BONUS` 名称对应的业务活动或历史工单，可能包含密码提示或备份记录。
2. **补充钱包创建时间**：当前只有录入时间，缺少文件生成时间，有助于缩小密码设置的时间范围。
3. **调取 2022-05-19 两笔转入的完整交易上下文**：查看对手方地址和备注，可能关联到同一批钱包的其他文件。
4. **检索同一路径下其他钱包文件**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下是否还有类似命名的文件，可能共享密码策略。
5. **核对业务系统历史密码策略**：查询该批次钱包录入时是否使用过统一的密码生成规则（仅作线索，不涉及具体规则细节）。
6. **检查是否有备份或导出记录**：如 BDB 钱包的旧备份文件、导出 JSON/CSV 等，可能包含未脱敏的密码字段。
7. **确认“交易时间跨度 0 天”的统计口径**：是统计窗口问题，还是确实无新交易，避免误判活跃度。
8. **评估钱包文件完整性**：69632 字节是否完整，是否存在截断或损坏，影响后续离线处理。

### 7. 已尝试方向回顾（避免重复投入）
- **链上行为梳理**：已完成，确认 2 笔转入、0 笔转出，地址长期休眠。
- **密码线索排查**：已核对所有已知密码字段，结论为“无已知密码”，**无需再次重复检查**该字段。
- **业务价值评估**：已确认余额极小，属于低优先级钱包，**不建议投入大量计算资源**进行高成本破解尝试。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，后续若需处理，应直接基于该格式规划，**不必重复做格式探测**。