BTC 钱包风险检测与恢复评估 #978

### 1. 一句话结论
钱包 **978（BTC，主地址 1NyEeyXu8ydNw67e3ZTUmkwQJ8QNd1o3cF）** 是一份 **2015 年创建、2022 年后停止活动** 的比特币 Legacy 格式钱包文件；当前余额仅 **0.00000645 BTC**，且 **尚未获得明文密码**，业务标注的“余额很小”与“是否破解成功”是两回事。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS / 1NyEeyXu8ydNw67e3ZTUmkwQJ8QNd1o3cF.dat`，格式 `bitcoin_legacy_bdb`，文件大小 98304 字节。
- **时间线**：录入时间 2026-06-23，最后更新 2026-08-06；链上交易跨度 **2809 天**（约 7.7 年）。
- **余额**：当前 BTC 余额 **0.00000645**，业务标注“余额很小（≤阈值）= 是”。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入 12 笔，最后转入 **2015-08-25 13:21:07**；
- 转出 5 笔，最后转出 **2022-09-26 10:24:42**；
- 近 30 天转入/转出均为 **0**。
- **密码状态**：`cracked_password / actual_password` 字段为 **否**，即目前 **没有** 任何明文密码或助记词被确认。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们拿到的是一个 **2015 年生成的 Legacy 格式钱包文件**，从文件名看它属于一个叫 “MEGA-BONUS” 的地址。首先我们确认了文件格式与版本（`bitcoin_legacy_bdb`），并核对了文件大小与路径，确认这是一份真实可解析的钱包数据，而非空壳。

接着我们拉取了链上交易摘要，发现这个地址 **2015 年有 12 笔转入**，之后沉寂多年，直到 **2022 年 9 月出现最后一笔转出**，此后完全停止活动。这个“先收后付、最终清空”的模式，结合当前余额仅 0.00000645 BTC，说明该钱包大概率在 2022 年已被主动整理或迁移。

在密码层面，我们检查了业务系统里是否已有“已知密码”的强证据（`cracked_password` 字段），结果是否定的——也就是说，我们目前 **没有** 任何被验证过的明文密码或助记词。所有关于“破解成功”的说法都不成立，当前仍处于“有文件、无密码”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **12 笔**，最后一笔发生在 **2015-08-25**。说明该地址在 2015 年 8 月前有过一段集中收款期。
- **转出（send）**：共 **5 笔**，最后一笔发生在 **2022-09-26**。说明资金在 2022 年 9 月前后被逐步转出。
- **近期活动**：近 30 天转入/转出均为 **0**，钱包已完全休眠。
- **资金流向细节**：由于未提供每笔交易的对手地址与金额明细，**无法判断**转出是“归集到交易所”还是“转给其他钱包”，也无法判断转入来源。如需进一步解读，需补充 `wallet_transactions` 的完整字段（金额、对手地址、txid）。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小（≤阈值）= 是`，这是一个 **业务筛选标记**，仅表示该钱包余额低于某个阈值，**不代表**钱包已破解或已放弃。
- **密码状态**：`已知密码存在 = 否`，即 **尚未获得任何明文密码、助记词或私钥**。所有关于“已拿到密码”的说法均无事实依据。
- **结论**：目前该钱包处于 **“文件在手、密码未知、余额极低”** 的状态，两者不能混为一谈。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：提供 `wallet_transactions` 的 txid、金额、对手地址，用于判断 2022 年转出资金的去向。
2. **查找钱包创建时的关联线索**：文件名含 “MEGA-BONUS”，可检索历史邮件、备份文件名、云盘记录中是否有同名词条。
3. **确认 2015 年转入来源**：12 笔转入是否来自同一地址或已知交易所，有助于推测钱包用途。
4. **检查是否有旧版备份**：Legacy 格式钱包常有多份历史备份，查找 `.dat` 的旧副本或压缩包。
5. **核对 2022 年转出后的接收地址**：若接收地址属于已知交易所，可尝试通过官方渠道申请找回（需合法授权）。
6. **检索设备本地残留**：在授权范围内，检查原设备是否有钱包密码提示、便签或配置文件。
7. **确认钱包是否曾导入其他软件**：`bitcoin_legacy_bdb` 格式可被多种客户端识别，检查是否有 Electrum/比特币核心的关联文件。
8. **评估投入产出比**：当前余额仅 0.00000645 BTC，建议先评估继续投入的时间成本是否值得。

---

### 7. 已尝试方向回顾（避免重复投入）
- **格式与文件完整性核验**：已确认是 `bitcoin_legacy_bdb`，文件大小正常，无需重复检查。
- **业务系统密码检索**：已确认 `cracked_password` 字段为否，说明业务侧没有现成密码，不必再查该字段。
- **链上活跃度判断**：已确认钱包自 2022 年 9 月后无任何交易，近期活动为 0，无需再重复拉取近 30 天数据。
- **余额阈值判断**：已确认“余额很小”是业务标注，不代表破解状态，后续不必再纠结该标记含义。
- **未尝试方向**：尚未补充交易明细、未检索外部备份、未核对转出对手地址——这些是下一步重点，而非重复已有动作。