BTC 钱包风险检测与恢复评估 #958

### 1. 一句话结论
这是一个持有约 300 BTC、长期休眠后于近期重新激活的 Legacy 格式比特币钱包（ID 958），目前**尚未获得明文密码**，但已确认其“余额很小”的业务标注与“是否破解成功”是两件独立的事，不能混为一谈。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS`，主地址 `1LbvdyYr5KH8fZhXJ7txBr1RjoDnzhQEqY`，格式为 `bitcoin_legacy_bdb`（即 Bitcoin Core 旧版 Berkeley DB 钱包）。
- **资产规模**：当前余额 **300.00091055 BTC**，业务标注“余额很小”为 **否**（即不认为这是低价值钱包）。
- **密码状态**：字段 `cracked_password / actual_password` 为 **否**，即**没有**任何强证据表明已拿到明文密码。
- **文件信息**：钱包文件大小 57,344 字节，路径指向 `fake.czb.com/BTC/real/` 目录下的 `.dat` 文件，录入时间 2026-06-23，最近更新 2026-08-06。
- **交易统计**：转出 4 笔、转入 27 笔；最后转出 2013-05-23，最后转入 2026-05-22；近 30 天转入/转出均为 0；交易跨度 4786 天（约 13 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2013 年 5 月有过最后一笔转出，之后像大多数“沉睡地址”一样安静了十几年。直到 2026 年 5 月 22 日，链上突然出现一笔转入，余额从历史低位回升至 300 BTC 级别——这通常意味着原主人回归，或者有人向该地址充值。

我们在 2026 年 6 月 23 日将钱包文件纳入取证库，并确认了它的格式是 `bitcoin_legacy_bdb`。这类旧版钱包的密钥派生方式与新版不同，且文件结构特殊，因此我们优先做了格式识别与文件完整性校验（文件大小 57,344 字节，符合预期范围）。

随后我们比对了链上交易摘要：27 笔转入、4 笔转出，时间跨度 4786 天。这说明该地址历史上以“收币”为主，支出极少，符合“长期囤积”特征。但**关键缺口**在于：我们尚未拿到密码，也没有任何字段表明破解成功。目前所有工作停留在“已识别、已建档、已分析交易模式”阶段，尚未进入“验证密码”环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **27 笔**，最后一笔发生在 **2026-05-22 11:00:50**。近 30 天转入 **0 笔**。
- **转出（send）**：共 **4 笔**，最后一笔发生在 **2013-05-23 11:19:31**。近 30 天转出 **0 笔**。
- **解读**：该地址在 2013 年后基本只进不出，2026 年 5 月有一次新的转入，但之后 30 天再无动静。**未同步**任何关于“转出到哪个地址”或“转入来自哪个地址”的明细，因此无法判断资金流向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务上不认为 300 BTC 是小额，此标注与破解无关。
- **是否拿到明文密码**：**否**。字段 `cracked_password / actual_password` 明确为“否”，因此**不得**声称“已破解”或“已拿到密码”。当前状态是：**尚未获得明文密码，仍在测试/分析阶段**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2013 年 5 月 23 日转出交易的找零地址**，确认是否与主地址属于同一钱包（可验证地址归属）。
2. **获取 2026 年 5 月 22 日转入交易的来源地址**，判断是否由原主人充值，还是第三方转入。
3. **补充钱包文件创建时间**（若文件系统元数据可提取），用于推测钱包生成年份。
4. **检查同一路径下是否有同名备份文件**（如 `.dat.bak` 或旧版本），可能包含更早的密钥状态。
5. **收集该地址在 2013 年之前的交易记录**，确认最早一笔转入时间与金额。
6. **核对钱包名称 `MEGA-BONUS` 是否与任何公开活动、空投、奖励计划相关**，可能暗示密码规则。
7. **尝试从录入时间（2026-06-23）与最后转入时间（2026-05-22）的间隔推断**：是否有人主动提交该钱包，还是系统自动抓取。
8. **补充“密码提示”或“密码类型”字段**（若存在），否则只能依赖通用策略。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测。
- **交易统计**：已完成转入/转出笔数与时间跨度分析，无需重新统计。
- **文件完整性**：已确认文件大小 57,344 字节，路径有效，无需重复校验。
- **密码状态确认**：已明确 `cracked_password = 否`，因此**不应**再投入资源去“验证已破解密码”，而应聚焦于“寻找密码线索”或“补充材料”。
- **未尝试**：任何涉及地址归属、来源/去向分析、备份文件检索的工作，这些是下一步重点。