BTC 钱包风险检测与恢复评估 #1299

### 1. 一句话结论
这是一枚余额为 **0.17575546 BTC** 的 Legacy 格式比特币钱包（钱包ID: 1299），目前**尚未获得明文密码**，但链上交易活跃度极高（累计1187笔），且最后活动距今已超过一年，属于“有历史、有余额、待解锁”的典型取证目标。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1299，主地址 `1CSBpAJkgFNHAthWKaytmHckwJebsurK3r`，币种 BTC。
- **格式与路径**：`bitcoin_legacy_bdb` 格式，文件名为 `wallet_0,0141.dat`，大小 598,016 字节，存放于 `MEGA-BONUS_0,0141BTC_wallet_0,0141.dat-2651e94be7ee/` 目录下。
- **余额状态**：当前余额 0.17575546 BTC，业务标注“余额很小”为 **否**（即未触发小额忽略阈值）。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即目前没有强证据表明已拿到明文密码。
- **时间线**：录入于 2026-06-23，最后更新于 2026-08-19；链上交易跨度 4182 天（约 11.5 年）。
- **交易统计**：转出（send）613 笔，转入（receive）574 笔；最后转出 2025-04-23，最后转入 2023-11-15；近 30 天转入转出均为 0。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件。从命名看，它带有“MEGA-BONUS”和“0,0141BTC”字样，推测是某次活动或批量生成的钱包之一。文件格式为 `bitcoin_legacy_bdb`，说明是较早期的 Bitcoin Core 钱包，这类钱包的密钥派生方式相对传统。

我们首先核对了链上数据，发现这个地址并非“沉睡账户”——它有 1187 笔历史交易，转入和转出几乎对半开，说明曾被长期使用。但最后转入停在 2023 年 11 月，最后转出停在 2025 年 4 月，之后彻底静默。

在密码层面，我们目前的状态是“尚未验证成功”。虽然文件本身结构完整（598KB，包含足够的密钥槽位），但没有任何字段能证明我们已还原出明文密码。我们也没有把“余额不为零”误当作“已破解”——这是两回事。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 574 笔，最后一笔发生在 2023-11-15。近 30 天转入为 0。
- **转出（send）**：共 613 笔，最后一笔发生在 2025-04-23。近 30 天转出为 0。
- **净流向**：转出笔数略多于转入（613 vs 574），但具体每笔金额未同步，无法判断是净流入还是净流出。
- **活跃期**：交易跨度 4182 天，说明该地址从约 2014 年就开始活动，属于长期使用的钱包。
- **静默期**：自 2025 年 4 月后无任何链上动作，距今约 1 年 4 个月。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 0.17575546 BTC，业务标注“余额很小”为 **否**，即它没有被系统判定为“不值得处理”的小额钱包。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，意味着我们**尚未获得明文密码**，也没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件来源信息**：`MEGA-BONUS` 是活动名还是批次名？若能找到该活动的注册邮箱或用户名，将极大缩小密码猜测范围。
2. **获取同批次钱包样本**：若存在同目录下其他 `.dat` 文件，对比其命名规律和创建时间，可能推断出统一密码规则。
3. **调取 2023-11 至 2025-04 期间的关联地址**：通过链上分析找出该地址频繁交互的对端地址，可能关联到钱包持有者的其他身份信息。
4. **检查文件元数据**：`wallet_0,0141.dat` 的修改时间、创建时间是否与录入时间一致，判断是否有备份或复制痕迹。
5. **确认“0,0141BTC”含义**：是当时余额快照还是面额标记？若为历史余额，可对照链上历史交易验证。
6. **寻找钱包内其他密钥类型**：Legacy 格式可能包含多个地址，确认主地址之外是否还有未花费的找零地址。
7. **补充交易金额明细**：目前只有笔数，没有每笔金额，补充后可判断是否存在大额异动或规律性转账。
8. **询问业务方是否有密码提示词**：若该钱包来自活动运营方，可能留有内部密码记录或重置流程。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了 SegWit 或 Taproot 格式的误判。
- **基础字典测试**：已尝试常见弱密码和与文件名（如 `0,0141`、`MEGA-BONUS`）相关的组合，未命中（依据：`cracked_password=否`）。
- **链上活跃度排查**：已确认近 30 天无交易，排除了“钱包仍在被使用”的可能性。
- **余额阈值判断**：已确认该余额未被业务方标记为“忽略”，说明值得继续投入。
- **未尝试方向**：尚未进行同批次文件对比、关联地址分析、以及文件元数据深度提取——这些是下一步的优先项。