BTC 钱包风险检测与恢复评估 #1077

### 1. 一句话结论
钱包 1077（MEGA-BONUS / wallet_146.dat）是一枚持有约 130.29 BTC 的 Legacy 格式比特币钱包，链上活动集中在 2013-2014 年且仅各有 1 笔转入/转出；目前**尚未获得明文密码**，业务标注“余额很小”为否，即该钱包余额并不小，仍需继续推进取证。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1077，币种 BTC，主地址 `1KDBxLSxoyLSBdAkhxcq8aFGu6uJu3YjtT`。
- **余额**：130.29101593 BTC（数据标注日期 2026-06-23 00:57:27）。
- **文件信息**：名称 `MEGA-BONUS_wallet_146.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，大小 172,032 字节，格式为 `bitcoin_legacy_bdb`。
- **录入与更新时间**：录入 2026-06-23 00:39:12，更新 2026-08-06 09:03:59。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即目前没有强证据表明已拿到明文密码。
- **业务标注**：“余额很小(≤阈值)”为“否”，说明该钱包余额在业务上不属于小额钱包。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转入 1 笔，最后转入时间 2013-10-19 17:13:39；
- 转出 1 笔，最后转出时间 2014-08-03 05:30:55；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 287 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从钱包文件本身出发，先确认了它的基本身份：这是一份 2013 年前后生成的 Legacy 格式 Bitcoin 钱包文件，约 168 KB，命名带有“MEGA-BONUS”字样，推测与某个活动或批量生成场景有关。随后我们核对了链上记录，发现它的活跃期非常短：2013 年 10 月有一笔转入，2014 年 8 月有一笔转出，之后再无动静。余额停留在 130.29 BTC，说明转出后仍有大量资金留存。与此同时，我们检查了密码状态字段，确认目前没有“已知密码”的强证据，因此所有关于“已破解”的说法都不成立。整个推进过程目前停留在“资料已齐、链上已清、密码未明”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入**：共 1 笔，发生在 2013-10-19 17:13:39。这是该地址最早的资金来源。
- **转出**：共 1 笔，发生在 2014-08-03 05:30:55。这是该地址唯一一次支出。
- **近期活动**：近 30 天转入 0 笔、转出 0 笔，说明该钱包自 2014 年后基本处于休眠状态。
- **未同步/未知**：除上述统计外，没有更多交易明细字段（如金额、对手地址、手续费），因此无法判断每笔具体金额与流向，也不对交易方向做任何推测。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包“余额很小(≤阈值)”为**否**，即余额 130.29 BTC 不属于小额钱包，业务上仍视为高价值目标。
- **明文密码状态**：字段 `cracked_password/actual_password` 为“否”，即**尚未获得明文密码**。所有关于“已拿到密码/验证成功”的说法均无事实依据，当前仍处于密码未知状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. 获取该钱包文件对应的**完整交易明细**（金额、对手地址、交易哈希），用于交叉验证资金流向。
2. 查找钱包文件名 `MEGA-BONUS` 在业务系统中的**来源记录**（如活动批次、导出任务），确认生成背景。
3. 补充该钱包的**创建时间/首次使用时间**，与转入时间 2013-10-19 对齐。
4. 检索同一路径下是否有**同批次其他钱包文件**，判断是否存在批量生成规律。
5. 收集 2013-2014 年间与该地址相关的**备注、工单、邮件或日志**，寻找密码线索。
6. 检查是否有**旧版备份或导出文件**（如 CSV、JSON）包含该地址的元数据。
7. 确认该钱包是否曾用于**特定平台活动**（如“MEGA-BONUS”暗示的奖励场景），以缩小密码构造范围。
8. 若允许，可尝试**合规的密码找回流程**（如联系原持有人或平台方），而非仅依赖本地破解。

### 7. 已尝试方向回顾（避免重复投入）
- **链上数据核对**：已完成转入/转出笔数与时间统计，确认钱包休眠状态，无需重复拉取。
- **文件基础信息采集**：已确认格式、大小、路径、名称，无需重复扫描。
- **密码状态核查**：已确认当前无明文密码证据，后续不应假设“已破解”而跳过密码环节。
- **业务标注确认**：已确认该钱包不属于“余额很小”类别，避免误判为低优先级。
- **未尝试方向**：尚未进行交易明细深挖、同批次文件比对、业务来源检索，这些是下一步重点。