BTC 钱包风险检测与恢复评估 #1366

### 1. 一句话结论
钱包 1366（BTC 主地址 1Cyiq...xFRY）目前**尚未获得明文密码**，且业务标注显示**余额不为零**（即非“余额为0”的轻量标注），但链上活动已停滞多年，最后转入停留在 2013 年，最后转出停留在 2024 年 5 月。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1366，币种 BTC，格式为 `bitcoin_legacy_bdb`，文件名为 `MEGA-BONUS_1Cyiq...xFRY.dat`，大小 57,344 字节。
- **密码状态**：`cracked_password / actual_password` 字段为“否”，即**没有已知明文密码**。
- **余额标注**：业务字段“余额很小(≤阈值)”为“否”，说明**当前余额未被标记为小额/零钱**，但该标注不等同于“已破解”。
- **录入与更新时间**：录入于 2026-06-23 00:44:52，最近更新于 2026-08-05 22:41:31，数据标注日期为 2026-06-23 00:57:41。
- **链上交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）6 笔，最后转出时间 2024-05-30 10:58:20。
- 转入（receive）3 笔，最后转入时间 2013-04-12 10:26:53。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 4111 天（约 11.3 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个 Bitcoin Legacy 格式的 `.dat` 文件，路径指向 `fake.czb.com` 数据集下的 `MEGA-BONUS` 目录。文件大小约 56 KB，属于典型的旧版 Bitcoin Core 钱包文件。

我们首先核对了它的链上痕迹：转入记录集中在 2013 年 4 月，之后长达 11 年没有新的收入；转出记录则一直延续到 2024 年 5 月，共 6 笔。这说明这个地址在 2013 年之后被当作“支出钱包”使用过，但近 30 天完全静默。

在密码方面，我们检查了所有已知的密码线索字段，结论是“已知密码存在=否”。也就是说，到目前为止，我们**没有拿到任何可用的明文密码或助记词**，也没有任何强证据表明某个候选密码是正确的。余额标注为“非小额”，意味着我们不能因为“余额小”而放弃或降级处理，仍需按正常钱包对待。

整个推进过程是：先确认文件格式与路径 → 再拉取链上交易方向统计 → 再核对密码状态与余额标注。目前停留在“资料齐全但密码未破”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 3 笔，最后一笔发生在 **2013-04-12 10:26:53**。此后无任何新转入。
- **转出（send）**：共 6 笔，最后一笔发生在 **2024-05-30 10:58:20**。近 30 天转出为 0。
- **当前余额**：业务标注显示“余额很小=否”，即余额**未被标记为小额**，但具体数值未在本数据中提供，因此**具体余额未知**。
- **活跃度**：交易时间跨度 4111 天，但近 30 天无任何活动，属于“长期休眠、偶发支出”的地址。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：`余额很小(≤阈值)=否`，说明系统**没有**将该钱包标记为“余额为0/小额”。这是一个业务层面的判断，不代表密码已破解。
- **明文密码状态**：`cracked_password / actual_password = 否`，即**尚未获得任何明文密码**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。
- **结论**：当前状态是“有余额（或至少非小额），但密码未知”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充钱包文件本身的元数据**：如 `mkey` 加密头、`iv`、`salt` 等（仅用于取证分析，不涉及明文密码）。
2. **查找该钱包关联的旧备份文件**：如早期 `.dat` 备份、云盘快照、旧电脑镜像。
3. **收集该钱包名称 `MEGA-BONUS` 相关的历史文档**：可能是某个活动、空投或奖励计划的遗留钱包。
4. **调取 2013 年转入时的交易对手信息**：从链上关联地址反查是否有公开标签或交易所提现记录。
5. **核对 2024 年 5 月最后转出的接收地址**：看是否关联到已知交易所或服务商，可能留有身份线索。
6. **检查同一数据集目录下是否有同批次钱包**：`fake.czb.com/BTC/real/` 下其他文件可能共享密码策略。
7. **获取该钱包的“最后修改时间”与“文件哈希”**：用于判断是否被多次打开或修改过。
8. **补充“余额具体数值”与“UTXO 列表”**：确认是否真的还有可动用的资金，避免在空钱包上继续投入。

### 7. 已尝试方向回顾（避免重复投入）
- **密码字典/规则测试**：已确认没有已知密码命中，`cracked_password=否`，说明常规候选密码未成功。
- **余额降级判断**：已确认业务标注为“非小额”，因此**不适用**“余额为0即放弃”的快速通道。
- **链上活跃度分析**：已完成转入/转出统计，确认近 30 天无活动，排除了“近期活跃”的可能性。
- **文件格式识别**：已确认为 `bitcoin_legacy_bdb`，排除了非标准格式的干扰。
- **不建议重复**：不要再次仅凭文件名 `MEGA-BONUS` 猜测密码，也不要重复扫描同一份链上交易摘要，除非有新的地址或交易对手数据补充进来。