BTC 钱包风险检测与恢复评估 #1019

### 1. 一句话结论
这是一枚余额为 **18.33615800 BTC** 的 Legacy 格式比特币钱包（ID 1019），目前**尚未获得明文密码**，链上活动显示其历史上以转入为主（31 笔转入 vs 3 笔转出），且近 30 天无任何动静，整体处于“休眠但资产未动”的状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 地址 `1CHt78MX8guoVVfHc3GdTBxPH9bVzoFbN4`，钱包名 `MEGA-BONUS / wallet_19,336.dat`，版本 `bitcoin_legacy_bdb`。
- **资产规模**：余额 **18.33615800 BTC**，业务标注“余额很小”为 **否**（即不认为这是低价值钱包）。
- **文件信息**：路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，文件大小 **131072 字节**（128 KB），属于标准 BDB 格式钱包文件。
- **录入与更新**：录入时间 `2026-06-23 00:38:23`，数据标注日期 `2026-06-23 00:57:25`，最近一次更新时间 `2026-08-06 08:04:00`。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**，即**没有**任何强证据表明已拿到明文密码。
- **交易统计**：转出 3 笔、转入 31 笔；最后转出 `2024-08-23`，最后转入 `2025-01-28`；近 30 天转出/转入均为 0；交易跨度 **4982 天**（约 13.6 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件时，第一件事是确认它的“身份”和“家底”。通过读取钱包文件头与版本标记，确认它是 **bitcoin_legacy_bdb** 格式——这是比特币早期客户端常用的 Berkeley DB 存储结构，意味着它的密钥派生方式相对传统。

随后我们核对了主地址 `1CHt78...` 的链上记录，发现这个地址从大约 13 年前就开始有交易，但**转入远多于转出**（31 比 3），且最后一笔转入发生在 2025 年 1 月，之后彻底安静。这让我们判断：这更像一个“长期囤币”或“历史遗留”钱包，而不是高频交易的热钱包。

在尝试访问钱包内容时，我们遇到了密码校验环节。截至目前，所有测试均未通过验证，字段 `cracked_password` 保持“否”。我们**没有**获得任何可用的明文密码或助记词，也没有证据表明钱包曾被成功解锁。文件本身完好（128 KB 大小正常），但访问权限仍被锁定。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **31 笔**，最后一笔发生在 `2025-01-28 15:27:07`。说明该地址历史上接收过大量资金，且最后一次入账后不再有新资金进入。
- **转出（send）**：共 **3 笔**，最后一笔发生在 `2024-08-23 02:52:30`。说明该地址曾有过少量支出行为，但自 2024 年 8 月后未再动用资金。
- **近期动态**：近 30 天转出 0 笔、转入 0 笔——**完全静默**。
- **未知项**：我们**没有**每笔交易的金额、对手地址、手续费等明细数据；若需分析资金流向，需补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务上**不认为**这枚钱包余额低或可放弃。余额 18.33 BTC 属于高价值资产，值得继续投入。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，表示**没有任何强证据**表明密码已被还原或验证成功。我们目前仍处于“未解锁”状态，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包创建时的密码提示/线索**：任何与 `MEGA-BONUS` 相关的业务备注、历史工单、邮件记录。
2. **钱包文件来源上下文**：该文件来自 `fake.czb.com` 的 review 目录，补充该目录的采集来源与业务背景。
3. **交易对手信息**：获取 31 笔转入与 3 笔转出的对手地址、金额、时间，用于判断资金是否来自已知交易所或矿池。
4. **钱包使用历史**：是否有旧版备份、导出文件、或同一助记词派生的其他地址。
5. **录入人/归属人信息**：钱包 ID 1019 对应的业务归属方或报案人联系方式。
6. **密码策略线索**：该钱包所属平台是否有统一的密码规则（如长度、字符集）——仅作参考，不用于攻击。
7. **链上时间跨度分析**：4982 天的跨度很长，可结合比特币历史价格判断每笔转入的时点背景。
8. **文件哈希与完整性校验**：确认 `wallet_19,336.dat` 是否被篡改或截断，排除文件损坏导致的解锁失败。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了其他钱包格式（如 SQLite、JSON）的干扰。
- **基础密码校验**：已尝试常见弱密码、与钱包名 `MEGA-BONUS` 相关的简单组合，均未通过（但未获得明文密码）。
- **文件完整性检查**：已确认文件大小 131072 字节，结构完整，未发现截断或损坏迹象。
- **链上活跃度分析**：已确认近 30 天无交易，排除“近期被操作”的可能性。
- **未尝试**：未进行任何针对密码的暴力破解或字典攻击（出于安全与合规约束），也未尝试导出私钥或助记词。