BTC 钱包风险检测与恢复评估 #1324

### 1. 一句话结论
这是一枚创建于2014年、已长期休眠的比特币 Legacy 钱包（ID 1324，主地址 19tved...BNK），链上活动集中在2014年10月至11月，此后近12年无任何动静；目前**尚未获得明文密码**，且业务侧也**未将其标注为“余额很小/可忽略”**，因此仍处于待突破状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 钱包，格式为 `bitcoin_legacy_bdb`，文件名为 `MEGA-BONUS_19tvedg4UTXv1kGKbmXedr1d2Z21fToBNK.dat`，大小 102400 字节（约 100KB），符合早期 Bitcoin Core 钱包数据库特征。
- **时间线**：录入系统于 2026-06-23 00:43:37，数据标注于同日 00:57:38；最近一次更新为 2026-08-05 22:01:01。
- **链上交易**（依据 `wallet_transactions.direction` 字段）：
- 转入 2 笔，最后转入时间 2014-10-30 03:17:23；
- 转出 3 笔，最后转出时间 2014-11-06 19:37:43；
- 交易时间跨度 302 天，近 30 天转入/转出均为 0。
- **破解状态**：`cracked_password / actual_password` 字段为“否”，即**没有已知明文密码**。
- **余额标注**：业务侧“余额很小（≤阈值）”标注为“否”，说明该钱包余额**未被判定为可忽略**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包在 2026 年 6 月 23 日凌晨被录入系统，当时我们拿到的是一个约 100KB 的 `.dat` 文件，路径指向 `fake.czb.com/BTC/real/` 目录，文件名带有明显的活动代号“MEGA-BONUS”。从文件格式看，它属于比特币早期的 Legacy 钱包（BDB 数据库），这类钱包的密钥派生方式与后来的 HD 钱包不同，属于“一代目”产物。

我们首先对文件本身做了静态检查，确认它不是一个空壳——文件大小合理，且链上数据同步显示该地址在 2014 年有过 5 笔交易（2 进 3 出），最后动账停在 2014 年 11 月 6 日。这意味着钱包里大概率存在“历史余额”或“可追溯的UTXO”，并非空钱包。

随后我们尝试了常规的恢复流程，但关键卡点在于：**没有任何已知密码或密码片段**。系统里 `cracked_password` 字段明确为“否”，说明此前所有尝试均未命中。同时，业务侧没有把它标记为“余额很小”，意味着我们不能因为“钱少”就放弃——它可能只是阈值设置较高，或余额尚未精确估值。

目前我们停留在“已确认钱包真实存在、有历史交易、但密码未知”的阶段，下一步需要更多外部线索才能继续。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2 笔，最后一笔发生在 **2014-10-30 03:17:23**。说明该地址在 2014 年 10 月底前收到过两笔资金。
- **转出（send）**：共 3 笔，最后一笔发生在 **2014-11-06 19:37:43**。说明在收到资金后约一周内，该地址有过 3 次支出行为。
- **近期活动**：近 30 天转入/转出均为 0，交易时间跨度 302 天，表明该钱包在 2014 年 11 月 6 日之后彻底休眠，至今未再动过。
- **未知项**：我们**没有**关于每笔交易具体金额、对手地址、以及转出后剩余余额的同步数据，因此无法判断当前链上余额具体数值。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小 = 否”，即**业务侧不认为这是可忽略的小额钱包**。注意，这并不等于“余额很大”，只代表它未达到“放弃处理”的阈值。
- **明文密码状态**：`cracked_password / actual_password = 否`，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立。
- **两者关系**：即使未来业务侧将其改为“余额很小”，也**不代表密码已拿到**——这是两个独立维度，必须分开看待。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包创建者线索**：文件名含“MEGA-BONUS”，建议排查该词是否对应某次活动、空投、奖金计划或内部项目代号。
2. **调取 2014 年 10-11 月的交易对手地址**：通过链上分析，找出转入/转出的对手方，可能关联到钱包主人身份。
3. **检查同一路径下其他钱包文件**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 目录下是否有同批次的兄弟钱包，可能共用密码规则。
4. **补充钱包内地址列表**：导出该 `.dat` 中所有派生地址，确认是否只有主地址一个，还是包含找零地址。
5. **核对录入来源**：2026-06-23 录入时，数据来自哪个渠道（用户提交、扣押设备、旧备份）？来源背景是关键线索。
6. **获取该钱包的历史余额快照**：从节点或区块浏览器拉取 2014-11-06 之后的 UTXO 明细，确认当前是否仍有未花费输出。
7. **检查文件元数据**：`.dat` 文件的创建时间、修改时间、所在磁盘镜像的原始路径，可能暴露操作者信息。
8. **排查“MEGA-BONUS”在业务系统中的关联记录**：是否有工单、邮件、备注提及该名称。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认文件格式为 `bitcoin_legacy_bdb`，大小正常，非空文件。
- **链上同步**：已拉取该地址的交易摘要（2 进 3 出，时间跨度 302 天），确认最后动账时间。
- **密码字典/常规恢复**：系统内 `cracked_password` 为“否”，说明常规恢复路径未命中，**无需重复跑相同字典**。
- **余额阈值判断**：业务侧已评估“余额很小 = 否”，说明该钱包未被放弃，**不应以“钱少”为由停止跟进**。
- **未尝试方向**：尚未进行交易对手分析、同批次文件比对、来源背景调查——这些是下一步重点，避免在已失败的密码猜测上继续消耗资源。