BTC 钱包风险检测与恢复评估 #968

### 1. 一句话结论
这是一枚持有 **14.35227778 BTC** 的 Legacy 格式比特币钱包（ID 968），当前**尚未获得明文密码**，但已确认其链上活动高度活跃（40 笔转入、2 笔转出），且最后转入发生在 2025 年，说明资产仍在流动，值得继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：BTC 地址 `1AYyMBbxXv9E29qJoTpbd6ocje81ZAJQsF`，钱包名 `MEGA-BONUS / WALLET14.35BTC-...`，文件大小 532,480 字节，格式为 `bitcoin_legacy_bdb`（老版本 Bitcoin Core 数据文件）。
- **余额与业务标注**：当前余额 **14.35227778 BTC**，业务系统标注“余额很小”为 **否**（即不认为余额可忽略）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转入 40 笔，最后转入时间 **2025-01-27 14:32:13**；
- 转出 2 笔，最后转出时间 **2011-06-19 06:47:23**；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 **4988 天**（约 13.7 年）。
- **录入与更新时间**：录入 2026-06-23，更新 2026-08-06，说明近期仍在处理该钱包。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个 `.dat` 文件，路径显示它来自 `fake.czb.com` 的 BTC 真实数据集。从文件名 `MEGA-BONUS / WALLET14.35BTC` 看，它很可能是一个“大奖/奖励”用途的钱包，余额与文件名吻合。

我们首先做了静态检查：确认它是 `bitcoin_legacy_bdb` 格式，即老版 Bitcoin Core 使用的 Berkeley DB 钱包文件。这类文件的特点是密钥结构相对固定，但密码保护机制（如果有）是独立的。

接着我们核对了链上数据：发现这个地址在 2011 年有过两笔转出（当时 BTC 价格极低），之后 13 年里只有转入、没有转出，直到 2025 年 1 月还有一笔转入。这说明钱包主人一直在往里存币，但从未动过——典型的“长期囤积”或“遗忘”状态。

目前我们卡在密码环节：系统里没有记录任何“已知密码”的强证据，意味着我们还没有成功验证出明文密码。我们也没有对余额做“业务归零”处理，因为 14.35 BTC 在当下价值不菲，不能简单放弃。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **40 笔**，最后一笔发生在 **2025-01-27**。近 30 天转入为 0，说明近期没有新资金进入。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2011-06-19**。近 30 天转出为 0。
- **解读**：这是一个“只进不出”的钱包——2011 年之后 14 年间没有任何转出记录，转入却持续到 2025 年。交易跨度 4988 天，符合长期持有或被动接收的特征。
- **未知项**：我们**没有**每笔交易的金额、对手地址、交易哈希等明细，因此无法判断转入来源（如交易所、矿池、个人转账）或转出去向。若需深入，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为 **否**，即业务上**不认为** 14.35 BTC 是“可忽略的小额”，因此该钱包**没有被归入低优先级**。
- **密码状态**：`cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**。我们没有任何证据表明密码已被验证成功，所有关于“已破解”的说法均不成立。
- **结论**：当前处于“有余额、无密码”的状态，仍需继续尝试或补充线索。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取钱包文件的创建时间与修改历史**（文件系统元数据），判断它是否曾被多次备份或迁移。
2. **补充 `wallet_transactions` 的完整明细**（金额、对手地址、交易哈希），用于分析转入来源是否指向已知交易所或矿池。
3. **检查钱包文件内是否包含多个地址**（BDB 格式可能存有地址池），确认主地址之外是否有其他关联地址。
4. **查找文件名中的 `MEGA-BONUS` 关键词**，在业务系统或历史邮件/文档中检索，可能对应某个活动或奖励计划。
5. **核对 2011 年两笔转出的对手地址**，若指向已知大交易所，可反查当时的注册信息。
6. **确认钱包是否设置了“仅公钥”或“无加密”模式**（BDB 文件头可读），若未加密则无需密码即可导出私钥。
7. **寻找同批次录入的其他钱包**（路径中 `fake.czb.com` 数据集），可能存在相同密码或相同命名规则。
8. **向数据提供方索取该钱包的“来源说明”**（如是否来自旧硬盘、捐赠、或测试数据），避免在错误方向上投入。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式分析**：已确认是 `bitcoin_legacy_bdb`，未发现异常结构。
- **链上活动核对**：已完成转入/转出统计，确认长期“只进不出”，但未做地址聚类分析。
- **密码状态核查**：系统内无“已知密码”记录，说明此前未成功验证过密码。
- **业务优先级判断**：已确认余额不小，未被业务侧放弃。
- **未尝试**：未进行任何字典/暴力破解尝试（因无密码线索且安全规则禁止），也未对文件做二进制深度扫描（如查找残留密钥片段）。