BTC 钱包风险检测与恢复评估 #1398

### 1. 一句话结论
这是一个 **2014 年活跃、此后长期休眠的 Legacy 格式 BTC 钱包**，当前余额 **0.04157575 BTC**，**尚未获得明文密码**，且业务层面 **未标记为“余额为0”**，因此仍具备继续推进的价值。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1398，主地址 `1EjMaPCv4EyEVXWtWyPSD7HjAb4nZ9iADK`，币种 BTC。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包文件（`.dat`）。
- **文件信息**：大小 229,376 字节，路径位于 `fake.czb.com/BTC/review/MEGA-BONUS_...` 目录下，命名含 `MEGA-BONUS` 业务标签。
- **录入与更新**：录入时间 2026-06-23，最近更新 2026-08-05，数据标注日期与录入时间一致。
- **余额状态**：当前余额 0.04157575 BTC，**业务标注“余额很小”为否**，即未触发小额放弃阈值。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有明文密码证据。
- **交易统计**：转出 8 笔，转入 24 笔；最后转出 2014-03-22，最后转入 2014-12-29；交易跨度 367 天；近 30 天无任何链上活动。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是在 2026 年 6 月 23 日进入我们取证流程的。它来自一个名为 `MEGA-BONUS` 的批量审查目录，文件是典型的 Bitcoin Core Legacy 格式——这类钱包在 2014 年前后非常常见，通常对应当时的主流桌面客户端。

我们首先确认了文件完整性和格式归属，随后读取了链上交易摘要。数据显示这个钱包在 2014 年有过一段活跃期：先有 8 笔转出，后有 24 笔转入，最后停留在 2014 年底。此后近 12 年没有任何动静，属于典型的“沉睡钱包”。

在密码层面，我们目前 **没有拿到任何明文密码或助记词**。所有关于“能否打开钱包”的结论都只能停留在“尚未验证”阶段。余额方面，虽然绝对数值不大，但业务规则并未将其判定为“可放弃的小额钱包”，因此它仍处于待处理队列中。

简单说：**我们确认了这是一个真实、有历史交易、格式明确的 BTC 钱包，但打开它的钥匙还没找到。**

---

### 4. 交易活动解读（严格区分转入/转出）

- **转入（receive）**：共 **24 笔**，最后一笔发生在 **2014-12-29 02:47:31**。说明该地址在 2014 年持续收到资金，可能是挖矿收益、收款或归集。
- **转出（send）**：共 **8 笔**，最后一笔发生在 **2014-03-22 18:34:03**。说明早期有过支出行为，且转出停止时间早于最后一笔转入。
- **近期活动**：近 30 天转出 0 笔、转入 0 笔，链上完全静默。
- **时间跨度**：从第一笔到最后一笔共 367 天，集中在 2014 年。

> 注意：以上仅基于 `direction` 字段统计，**不推断任何具体交易对手或资金用途**。未同步的数据一律视为未知。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务余额标注**：当前余额 0.04157575 BTC，业务标注 **“余额很小”为否**，即 **不视为零余额/可放弃钱包**。
- **明文密码状态**：`cracked_password/actual_password` 为 **否**，即 **尚未获得明文密码**，所有“已破解”的说法均不成立。
- **结论**：这是一个 **有余额、但未解锁** 的钱包。余额不为零不代表能取出，密码未拿到才是当前核心瓶颈。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **查找 2014 年与该地址关联的备注、邮件、工单或客服记录**，可能包含密码提示或恢复线索。
2. **调取该钱包文件所在目录的元数据**（如 `MEGA-BONUS` 批次来源、导入时间、操作人），确认业务背景。
3. **检查同一批次（`MEGA-BONUS`）下其他钱包是否已成功解锁**，若有，可参考其密码构成规律（仅作参考，不保证适用）。
4. **补充该地址在 2014 年前后的完整交易对手信息**（如交易备注、关联地址），用于确认钱包用途。
5. **核实钱包文件是否有备份或历史版本**（如旧磁盘镜像、云备份），可能包含未加密的旧状态。
6. **确认该钱包是否曾使用过已知的默认密码或常见弱密码**（仅限内部合规测试流程，不公开细节）。
7. **检查是否有硬件设备或纸质备份与该地址绑定**（如旧电脑、U 盘、保险箱记录）。
8. **补充钱包创建时间或首次交易时间**，缩小密码设置时间段，便于后续合规验证。

---

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别与文件完整性检查**：已完成，确认为 `bitcoin_legacy_bdb`，文件大小正常，无截断。
- **链上交易统计**：已完成，转入/转出笔数、时间跨度均已提取，无近 30 天活动。
- **密码验证**：已确认 **未获得明文密码**，任何“已破解”结论均不成立。
- **业务标注检查**：已确认该钱包 **未被标记为小额放弃**，仍在有效处理范围内。
- **未尝试方向**：尚未进行关联批次对比、历史备份检索、外部线索收集等，这些是下一步重点。

> 提示：请勿重复进行已完成的格式检查或交易统计，优先投入线索补充与合规验证流程。