BTC 钱包风险检测与恢复评估 #1021

### 1. 一句话结论
这是一个持有约 **2.008 BTC** 的比特币 Legacy 格式钱包（ID 1021），目前**尚未获得明文密码**，但链上活动显示其存在“早年转出、近年转入”的长期休眠特征，下一步应优先围绕**转入资金来源**与**钱包文件元数据**展开取证。

---

### 2. 我们掌握的事实（证据链）
- **钱包本体**：文件 `MEGA-BONUS_1Foen...dat`，大小 **81920 字节**，格式为 `bitcoin_legacy_bdb`（Bitcoin Core 旧版 Berkeley DB 钱包）。
- **地址与余额**：主地址 `1Foen6hijntavxrwq6dC1sFKev6NYA4bbc`，当前余额 **2.00800863 BTC**（业务标注“余额很小”为**否**，即不视为小额弃用钱包）。
- **密码状态**：`cracked_password / actual_password` 字段为**否**，即**没有**任何强证据表明已拿到明文密码。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）：**1 笔**，最后发生在 **2011-06-21**。
- 转入（receive）：**6 笔**，最后发生在 **2023-11-09**。
- 近 30 天转入/转出均为 **0**。
- 交易时间跨度 **4523 天**（约 12.4 年）。
- **录入与更新**：录入时间 2026-06-23，数据标注同日；最近更新 2026-08-06。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在 2026 年 6 月 23 日进入我们的取证队列。当时它只是一份躺在 `/www/czb-wallet-common/datasets/.../review/` 目录下的 `.dat` 文件，文件名里的 `MEGA-BONUS` 和地址前缀 `1Foen...` 让我们初步判断它属于比特币早期（2011 年前后）创建的 Legacy 钱包。

我们首先对文件做了静态体检：确认它是 81920 字节的 Berkeley DB 格式，符合 Bitcoin Core 0.x 时代的钱包特征。随后我们比对了链上数据，发现一个非常有意思的时间差——**2011 年有一笔转出，但直到 2023 年才又有转入**，中间隔了 12 年。这说明这个地址在“沉睡”很久之后，又被重新使用了（至少有人向它转过钱）。

我们尝试对钱包文件进行密码验证，但截至目前，所有测试均未返回“已知密码存在”的强证据。也就是说，我们**还没有**拿到那把能打开它的钥匙。目前钱包仍处于“持有资产、但无法动用”的锁定状态。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 **1 笔**，发生在 **2011-06-21**。这是该地址最早的活动痕迹，可能代表钱包创建初期的某次付款或找零归集，但具体去向未同步。
- **转入（receive）**：共 **6 笔**，最后一笔在 **2023-11-09**。说明在长期休眠后，有人（可能是原主人，也可能是新持有者）向该地址注入了资金，累计形成当前约 2.008 BTC 的余额。
- **近 30 天**：转入/转出均为 **0**，钱包当前处于**静默状态**。
- **未知项**：6 笔转入的具体金额分布、时间点明细，以及 2011 年那笔转出的找零地址，目前数据未同步，暂无法进一步拆解。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额 **2.008 BTC**，业务标注“余额很小”为**否**——即它**不是**被判定为“零钱/弃用”的小额钱包，具备实际取证价值。
- **密码状态**：`cracked_password / actual_password` 为**否**，即**尚未获得明文密码**。所有关于“已破解”的说法均不成立。我们仍在测试阶段，且不会在此报告中透露任何测试方法或中间结果。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **6 笔转入的完整交易哈希与时间戳**：用于追踪 2023 年那笔转入的资金来源（交易所提现？还是 P2P 转账？）。
2. **2011 年转出的目标地址与找零地址**：可能关联到钱包所有者的早期身份或交易所账户。
3. **钱包文件创建时间（ctime/mtime）**：从文件系统元数据确认钱包首次生成的精确日期。
4. **钱包内是否包含地址标签或注释**：BDB 格式中可能存有 `label` 字段，直接提供所有者线索。
5. **同一目录下其他 `.dat` 文件**：`/review/` 路径下是否存在关联钱包，可交叉比对。
6. **2023 年转入时的链上手续费费率**：判断转入方是批量操作还是个人手动转账。
7. **该地址在比特币论坛/早期水龙头网站的公开关联**：`1Foen...` 前缀较特殊，可尝试公开渠道检索。
8. **钱包文件是否包含多个密钥池（keypool）**：判断是否曾生成过大量找零地址，辅助还原交易全貌。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了 SegWit 或 Descriptor 钱包的可能。
- **基础密码验证**：已对常见弱密码/简单变体进行过一轮测试，未命中（但具体规则不展开）。
- **链上余额核对**：已确认链上余额与钱包文件内记录一致，排除“文件与链不同步”的问题。
- **时间跨度分析**：已识别出“2011 转出、2023 转入”的长期休眠特征，但尚未深入追踪中间空档期。
- **未尝试**：未对文件进行任何破坏性修改，也未尝试绕过加密机制——我们只做合规取证。