BTC 钱包风险检测与恢复评估 #1425

### 1. 一句话结论
这是一个持有约 192.76 BTC 的 Legacy 格式比特币钱包（ID 1425），目前**尚未获得明文密码**，但链上数据显示其历史上以接收为主、近期无活动，下一步应优先围绕“最后转入时间”与“钱包文件来源”补充线索。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1425，名称 `MEGA-BONUS / 159 12PpzLTHNWCLsHPgHMNd9ebj7bwbTxs33u.dat`，主地址 `12PpzLTHNWCLsHPgHMNd9ebj7bwbTxs33u`。
- **格式与路径**：`bitcoin_legacy_bdb`，文件大小 188,416 字节，存放于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 目录下。
- **余额**：192.75652321 BTC（业务标注“余额很小”为**否**，即不视为小额钱包）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即目前**没有**任何明文密码或助记词被证实。
- **录入与更新时间**：录入于 2026-06-23，最近更新于 2026-08-05，数据标注日期为 2026-06-23。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）3 笔，最后转出时间 2017-08-22。
- 转入（receive）32 笔，最后转入时间 2026-03-16。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 4,993 天（约 13.7 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日被纳入审查清单的。当时我们拿到的是一个 Legacy 格式的 `.dat` 文件，大小约 184 KB，命名里带有“MEGA-BONUS”和主地址，推测是某个历史活动或奖励计划的遗留钱包。

我们首先核对了链上行为：发现这个地址从很早（约 2013 年前后）就开始接收比特币，累计转入 32 笔，但转出只有 3 笔，且最后一笔转出停留在 2017 年 8 月。这说明它更像一个“长期存储”或“归集”地址，而不是高频交易地址。

接着我们检查了密码状态字段，确认目前**没有**任何已证实的明文密码。这意味着我们虽然掌握了钱包文件本身，但尚未能打开它。我们也注意到业务系统里有一个“余额很小”的标注，但该标注为“否”，说明系统并不认为这是一个可以忽略的小额钱包——192.76 BTC 的余额让它的优先级不低。

最后，我们对比了录入时间和最后转入时间：最后转入发生在 2026 年 3 月，而钱包在 6 月才被录入，中间有约 3 个月的空档。这个时间差可能是线索，也可能是巧合，目前没有更多数据支撑。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 32 笔，最后一笔发生在 **2026-03-16 06:15:32**。近 30 天转入为 0，说明近期没有新的资金进入。
- **转出（send）**：共 3 笔，最后一笔发生在 **2017-08-22 06:01:54**。近 30 天转出为 0，说明近期没有资金流出。
- **未同步/未知**：我们**没有**每笔交易的金额、对手地址或具体区块高度数据，因此无法判断这 32 笔转入是否来自同一来源，也无法确认 3 笔转出的去向。这些细节需要补充 `wallet_transactions` 的完整字段才能进一步解读。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小”为**否**，即当前余额 192.76 BTC 不属于“小额忽略”范畴，业务上仍视为有效资产。
- **明文密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“持有文件但无法解锁”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 `wallet_transactions` 完整字段**：包括每笔转入/转出的金额、时间、对手地址，用于判断资金流向和来源特征。
2. **核查 2026-03-16 最后一笔转入的上下文**：这笔转入发生在录入前 3 个月，是否与某个已知活动或服务有关。
3. **获取钱包文件的创建时间与修改时间**：文件系统元数据可能比录入时间更早，有助于判断钱包生成时间。
4. **检索同名“MEGA-BONUS”在其他钱包或数据库中的记录**：可能是某个活动批次的标准命名，存在关联钱包。
5. **检查该地址在 2017 年 8 月最后转出前后的链上行为**：是否有大额拆分或归集动作，帮助理解钱包用途。
6. **确认钱包文件是否包含“空密码”或“无密码”标记**：Legacy 格式有时存在未加密的裸私钥，但需通过合规工具检测，而非猜测。
7. **调取该钱包录入时的来源备注或工单记录**：是谁、在什么场景下提交了这个文件，可能附带说明文档。
8. **对比同目录下其他 `.dat` 文件的命名规律**：`/review/` 路径暗示这是一个审查批次，可能有一批类似钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已确认当前没有任何已证实的明文密码，因此**不要**再重复尝试“猜测密码是否已知”这一环节。
- **余额标注核对**：已确认业务系统不认为这是小额钱包，**无需**再次纠结“余额很小”的阈值判断。
- **基础链上统计**：转入/转出笔数、时间跨度、最后活动时间均已提取，**无需**重新统计。
- **格式识别**：已确认为 `bitcoin_legacy_bdb`，**无需**再次猜测格式。
- **尚未尝试且值得投入**：补充交易明细字段、核查文件来源、检索关联钱包名称——这些是当前最明确的空白点，应优先投入。