BTC 钱包风险检测与恢复评估 #1816

### 1. 一句话结论
钱包 1816（MEGA-BONUS / 1240.dat）是一份 2013 年的比特币 Legacy 钱包文件，当前链上余额约 1250.43 BTC，但**尚未获得明文密码**，且**不适用“余额为 0”的业务简化标注**，需继续走完整取证流程。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1816，币种 BTC，名称 MEGA-BONUS，文件 `1240.dat`，格式 `bitcoin_legacy_bdb`，大小 1,929,216 字节。
- **主地址**：`1LhK4SR8zG6LZ2nUuvaRmmBHoVkyd6DiGg`。
- **余额**：1250.42792321 BTC（业务标注“余额很小”=否，即**不视为小额/零值钱包**）。
- **录入与更新**：录入时间 2026-06-23 00:58:18，最后更新 2026-08-06 05:31:01。
- **链上活动（依据 `wallet_transactions.direction`）**：
- 转入 1 笔，最后转入时间 2013-01-18 07:47:13；
- 转出 1 笔，最后转出时间 2013-01-25 03:01:00；
- 近 30 天转入/转出均为 0；交易时间跨度仅 6 天。
- **密码状态**：`cracked_password/actual_password` 字段为“否”，即**无强证据表明已拿到明文密码**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，钱包 1816 被录入系统，当时就标记为 Legacy BDB 格式，文件来自 `fake.czb.com` 的 review 目录，命名带哈希后缀，说明它已经过一次归档或快照处理。我们首先确认了它的链上状态：主地址余额约 1250 BTC，且业务侧明确标注“余额很小=否”，意味着它不属于可快速结案的“空钱包”类别，必须认真对待。

随后我们拉取了链上交易摘要，发现这个地址的活动高度集中：2013 年 1 月 18 日有一笔转入，1 月 25 日有一笔转出，之后 13 年再无动静。这个“6 天内进一出”的模式，结合文件时间，指向一个典型的“旧钱包一次性归集/支付后休眠”场景。

在密码层面，我们检查了已知密码字段，结论是“否”——也就是说，到目前为止，我们**没有**任何强证据表明已经还原出明文密码或助记词。所有关于“已破解”的说法都不成立。当前进度停留在：**已确认钱包有效、余额真实、文件格式明确，但访问凭证未突破**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：1 笔，发生在 2013-01-18 07:47:13。这是该地址最早的资金来源，也是余额的主要构成依据。
- **转出（send）**：1 笔，发生在 2013-01-25 03:01:00。这是唯一一笔支出，发生在转入后 7 天。
- **近期活动**：近 30 天转入 0 笔、转出 0 笔，地址已长期休眠。
- **未同步/未知项**：我们**没有**每笔交易的金额、对手地址、手续费等明细数据；因此无法判断转出是“全部清空”还是“部分支付”。**在补充交易明细前，不得推断转出后剩余金额与当前余额的关系。**

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即系统**不认为**这是可忽略的小额钱包。余额 1250.43 BTC 远高于阈值，必须走完整流程。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，因此**不得**声称“已破解”“已拿到密码”“验证成功”。当前状态是：**钱包文件在手，余额确认，但访问凭证未突破**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**（每笔 txid、金额、对手地址、手续费），用于核对转出后余额变化，验证当前 1250 BTC 是否合理。
2. **获取钱包创建时间或首次使用时间**（BDB 文件内部时间戳），辅助判断密码设置年代。
3. **查找同批次钱包文件**（`MEGA-BONUS` 系列其他 `.dat`），看是否有共用密码或命名规律（仅作关联分析，不涉及攻击）。
4. **调取 2013 年 1 月前后的交易所/服务商充值记录**，匹配转入来源地址，确认资金性质。
5. **检查钱包文件是否包含“备注”或“标签”字段**（BDB 中可能存有用户自定义文本）。
6. **确认该钱包是否曾导出过私钥或做过备份**（如存在其他副本文件，路径或文件名可提供线索）。
7. **核对录入来源 `fake.czb.com` 的上下文**，确认该文件是真实用户提交还是测试样本，避免无效投入。
8. **补充“已知密码”的测试范围说明**（例如已测试字典类型、长度策略），以便评估剩余空间，但**不公开具体规则**。

### 7. 已尝试方向回顾（避免重复投入）
- **链上余额与活跃度核查**：已完成，确认有余额且长期休眠，排除“空钱包”误判。
- **交易方向统计**：已完成，确认 1 进 1 出，但缺少明细，无法进一步归因。
- **已知密码字段检查**：已完成，结果为“否”，说明常规的“已有密码匹配”路径不通。
- **文件格式与路径解析**：已完成，确认为 Legacy BDB，路径含哈希后缀，疑似归档副本。
- **未尝试/不建议重复**：不要再次仅凭“余额大”就反复做全量字典测试；应先补齐交易明细和文件元数据，再决定是否值得投入更多计算资源。