BTC 钱包风险检测与恢复评估 #1330

### 1. 一句话结论

这是一个**尚未破解**的比特币 Legacy 格式钱包（ID 1330），当前余额 **2.20947753 BTC**，链上表现为“**只进不出**”（11 笔转入、0 笔转出），但**明文密码尚未获得**，且**业务上不认为余额很小**，因此仍具备继续推进的价值。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：主地址 `1N8L17Z7D6bBCWkSKABDf2qqJNHT1R9fv7`，文件名为同名 `.dat`，格式为 `bitcoin_legacy_bdb`（老版 Bitcoin Core 数据库格式）。
- **余额与标注**：余额 **2.20947753 BTC**；业务标注“余额很小(≤阈值)”为 **否**，即该余额**未触发低价值放弃线**。
- **破解状态**：`cracked_password / actual_password` 字段为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：大小 **106,496 字节**，路径位于 `fake.czb.com/BTC/real/MEGA-BONUS_...` 目录下，暗示该钱包可能来自某个“MEGA-BONUS”活动批次。
- **录入与更新时间**：录入于 2026-06-23，最近一次更新为 2026-08-05，说明近期仍在处理。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转入笔数：**11**；转出笔数：**0**。
- 最后转入时间：**2025-10-11 07:27:17**；最后转出时间：**未知**。
- 近 30 天转入/转出均为 **0**，交易时间跨度 **4281 天**（约 11.7 年）。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个故事始于 2026 年 6 月 23 日。当时我们收到一个名为 `MEGA-BONUS_1N8L17Z7D6bBCWkSKABDf2qqJNHT1R9fv7.dat` 的钱包文件，大小约 104 KB，属于典型的 Bitcoin Legacy 钱包数据库。从命名看，它很可能来自某个“大额奖励”活动的历史遗留资产。

我们首先确认了它的身份：主地址与文件名一致，格式为 `bitcoin_legacy_bdb`，说明这是一个老版本 Bitcoin Core 生成的钱包，内部结构相对传统。随后我们核对了链上记录，发现这个地址从诞生至今共收到 **11 笔转入**，但**从未转出过任何一笔**，最后入账停留在 2025 年 10 月 11 日。也就是说，这是一只“只进不出”的沉睡钱包，余额 2.209 BTC 一直躺在链上。

在尝试访问钱包内的资产时，我们遇到了最核心的障碍：**钱包文件本身是加密的，需要密码才能解锁**。截至目前，所有验证尝试均未获得“已知密码存在”的强证据，因此我们**不能声称已破解**。我们也没有对交易方向做过任何猜测——所有转入/转出结论均来自 `direction` 字段的统计，而非推测。

时间跨度 4281 天意味着这个钱包经历了多个比特币市场周期，但它的链上行为始终如一：只收不付。这让我们倾向于认为它可能是某个历史活动奖励的沉淀地址，而非高频交易地址。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **11 笔**，最后一笔发生在 **2025-10-11 07:27:17**。近 30 天无新增转入。
- **转出（send）**：共 **0 笔**，最后转出时间 **未知**（因无转出记录）。
- **整体特征**：该地址自创建以来**从未发生转出**，属于典型的“沉淀型”地址。当前 2.209 BTC 全部来自历史转入。
- **活跃度**：近 30 天完全静默，无任何收发记录。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注**：该钱包余额为 **2.20947753 BTC**，业务标注“余额很小(≤阈值)”为 **否**。这意味着**业务上并未因余额过低而放弃该钱包**，它仍被视为有价值的资产。
- **明文密码状态**：`cracked_password / actual_password` 字段明确为 **否**。因此，**我们尚未获得该钱包的明文密码**，所有关于“已破解”的说法均不成立。当前仍处于“密码未知、继续测试”的阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **补充钱包来源背景**：查找 `MEGA-BONUS` 活动批次的历史记录，确认该地址是否属于某个已知活动，活动规则中是否包含密码生成逻辑。
2. **获取更多链上关联信息**：拉取该地址 11 笔转入的**对手方地址**，分析资金源头是否来自交易所、矿池或活动分发地址。
3. **检查钱包文件完整性**：确认 `.dat` 文件是否被截断或损坏，尝试用标准 Bitcoin Core 工具验证文件可读性（不涉及密码）。
4. **寻找同批次钱包样本**：如果 `MEGA-BONUS` 目录下还有其他钱包文件，对比它们的文件结构、创建时间，寻找共性规律。
5. **核对录入时间与活动时间线**：录入时间为 2026-06-23，但最后转入为 2025-10-11，需确认中间是否有其他系统记录（如工单、备注）。
6. **补充密码线索材料**：若存在任何与钱包关联的提示词、历史邮件、活动页面截图，请一并提供。
7. **确认钱包版本细节**：`bitcoin_legacy_bdb` 具体版本号（如 0.4~0.8 等），不同版本的加密算法参数可能影响后续合规验证。
8. **检查是否有备份文件**：在原始路径附近查找同名 `.dat` 的备份或临时文件，有时旧版本未加密备份会残留。

---

### 7. 已尝试方向回顾（避免重复投入）

- **链上行为分析**：已完成，确认 11 进 0 出，方向统计清晰，无需重复。
- **文件基础识别**：已完成，确认格式为 `bitcoin_legacy_bdb`，大小正常，无需重复。
- **密码状态验证**：已确认 `cracked_password = 否`，即所有已尝试的密码均未通过验证，**不应再重复测试已试过的候选值**。
- **低价值放弃判断**：已确认业务上不认为余额小，因此**不应以“余额为0”为由关闭任务**。
- **交易方向猜测**：未做过任何无依据的方向推断，后续也应继续严格依赖 `direction` 字段，避免主观臆断。