BTC 钱包风险检测与恢复评估 #953

### 1. 一句话结论
这是一枚持有约 **101.71 BTC** 的 Legacy 格式比特币钱包（钱包ID 953），链上活动活跃但近30天静默，目前**尚未获得明文密码**，且业务层面**未标记为“余额为0”**，因此仍处于“有资产、待解锁”的取证阶段。

### 2. 我们掌握的事实（证据链）
- **资产现状**：BTC 余额 **101.70870995**，业务标注“余额很小”为 **否**，即该余额未被系统视为可忽略。
- **钱包格式**：`bitcoin_legacy_bdb`，文件 `wallet_101,104.dat`，大小 **692,224 字节**，路径指向 `MEGA-BONUS_wallet_101,104BTC` 数据集。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-18；链上交易跨度 **4,424 天**（约12年）。
- **交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）40 笔，最后发生在 **2015-05-19**；
- 转入（receive）120 笔，最后发生在 **2025-11-22**；
- 近30天转入/转出均为 **0**。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即当前没有可用的明文密码证据。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份标注为“MEGA-BONUS”的旧版比特币钱包文件入手。文件路径显示它来自一个名为 `fake.czb.com` 的评审数据集，命名中带有“101,104BTC”字样，暗示该钱包可能曾关联两个地址或两笔大额记录。

首先，我们对文件本身做了静态核验：确认它是 Bitcoin Core 的 Legacy BDB 格式，文件大小约 676 KB，结构完整。接着，我们同步了链上交易历史，发现转入记录远多于转出（120 vs 40），且最后一笔转入发生在 2025 年 11 月，说明这个地址在近期仍被使用过——这与“近30天无活动”并不矛盾，只是意味着最近一个月没有新动作。

在尝试解锁的过程中，我们严格遵循安全规范：没有对密码做任何暴力猜测，也没有尝试还原助记词或私钥。我们目前掌握的唯一强证据是：**系统记录中不存在已知密码**。因此，所有关于“是否已破解”的结论都只能停留在“未成功”状态。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **120 笔**，最后一笔发生在 **2025-11-22**。这表明该地址在 2025 年底仍有资金进入，来源可能是历史收款或他人转账。
- **转出（send）**：共 **40 笔**，最后一笔发生在 **2015-05-19**。即自 2015 年年中起，该地址再无主动支出记录。
- **近30天**：转入 0 笔、转出 0 笔，处于完全静默状态。
- **未同步/未知**：我们**没有**关于每笔交易具体金额、对手地址或交易哈希的明细数据，因此无法判断 101.71 BTC 是长期沉淀还是近期累积。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为 **否**，即该钱包余额 **101.71 BTC** 被视为有效资产，**不是**“余额为0”的废弃钱包。
- **密码状态**：`cracked_password/actual_password` 为 **否**，即 **尚未获得明文密码**。我们没有任何证据表明密码已被验证成功，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **交易明细导出**：获取 `wallet_transactions` 的完整字段（金额、时间、对手地址、txid），用于判断 101.71 BTC 的构成。
2. **地址关联分析**：检查主地址 `1DgW3yJzVzYG3WqBVK79cftT56LM9SLpAE` 是否与其他已知钱包地址存在交互。
3. **文件名线索**：`wallet_101,104BTC` 中的“101,104”可能对应两个地址或两笔交易，建议核对历史大额记录。
4. **钱包创建时间**：从 BDB 文件头或首次交易时间推断钱包生成日期，缩小密码设置背景。
5. **历史备份检索**：在数据集目录中查找同名或相似文件（如 `.dat.bak`、`.old`），可能包含旧密码提示。
6. **用户行为画像**：若该钱包来自“MEGA-BONUS”活动，查找活动规则或常见密码策略（如默认密码、生日组合）。
7. **链上标签服务**：通过公开标签库查询主地址是否被标记为交易所、矿池或已知个人地址。
8. **时间窗口比对**：对比 2015-05-19 最后一笔转出与 2025-11-22 最后一笔转入之间的 10 年空窗期，是否有其他关联地址在此期间活动。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式核验**：已确认钱包为 Legacy BDB 格式，文件完整，无需重复检查。
- **链上统计同步**：已获取转入/转出笔数与时间跨度，但**未获取交易明细**，因此不要再做重复的“笔数统计”。
- **密码状态确认**：已确认系统无已知密码，**不要**再假设“可能已破解”或“默认密码有效”。
- **余额有效性判断**：已确认业务标注为“非零余额”，**不要**再按“空钱包”处理。
- **未尝试方向**：尚未进行任何形式的密码猜测、字典攻击或规则推导（合规限制），也尚未获取交易明细与地址关联数据，这些是下一步的空白区。