BTC 钱包风险检测与恢复评估 #1317

### 1. 一句话结论
这是一枚持有 **28.00031785 BTC** 的比特币 Legacy 格式钱包（ID 1317），目前**尚未获得明文密码**，且链上记录显示该地址历史上只进不出，最后一次转入发生在 2023 年 1 月，当前处于“有余额、待解锁”的静默状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS / WALLET28BTC-1PbHeg1...`，版本 `bitcoin_legacy_bdb`，文件大小 57344 字节，录入于 2026-06-23。
- **资产规模**：余额 28.00031785 BTC，业务标注“余额很小”为 **否**，即该钱包被认定为高价值目标。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有任何明文密码或助记词被验证通过。
- **交易统计**：`direction=receive` 共 4 笔，`direction=send` 共 0 笔；近 30 天转入/转出均为 0；最后转入时间 2023-01-29 12:11:27；交易时间跨度 3349 天（约 9.2 年）。
- **主地址**：`1PbHeg1WDosvuhApxbfQg3iFDQ2WW7Mttf`（BTC Legacy P2PKH 格式）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们最初在 2026 年 6 月 23 日接手这个钱包文件时，它静静地躺在 `fake.czb.com` 的 review 目录下，文件名里带着“MEGA-BONUS”和“28BTC”的字样，像是一张被遗忘的旧彩票。

第一步，我们对文件本身做了体检：确认它是标准的 `bitcoin_legacy_bdb` 格式，大小 57344 字节，结构完整，没有截断或损坏。这排除了“文件残缺导致无法解析”的初级问题。

第二步，我们拉取了链上交易摘要。数据告诉我们：这个地址从诞生到 2023 年 1 月 29 日，一共只发生过 4 笔转入，从未有过任何转出。这意味着这枚钱包在过去 9 年里只进不出，像是一个只存不取的保险箱。

第三步，也是最关键的一步：我们检查了密码验证状态。事实非常明确——`cracked_password` 字段为“否”。也就是说，尽管我们确认了钱包里有 28 个比特币，但**我们手里并没有打开它的钥匙**。所有关于“已破解”的说法都是不成立的。

目前我们停留在“确认资产存在、确认钱包健康、确认密码未到手”的阶段。下一步不是继续盲目尝试，而是回头找线索。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **4 笔**，最后一笔发生在 **2023-01-29 12:11:27**。近 30 天转入笔数为 0。
- **转出（send）**：共 **0 笔**。近 30 天转出笔数为 0。
- **最后转出时间**：未知（因为转出笔数为 0，不存在该时间点）。
- **解读**：该地址是一个典型的“单方向积累”地址，历史上从未动用过资金。3349 天的跨度说明它至少经历了两个完整的市场周期，但主人始终没有移动过这些币。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为 **否**，即业务上不认为这是低价值钱包，反而确认了 28 BTC 是有效资产。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段明确为“否”，我们没有任何证据表明密码已被还原或验证通过。所有关于“已破解”的猜测都是不实的。
- **结论**：当前状态是“有币、无钥”，距离解锁还有关键一步未完成。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包文件关联的备注/标签**：文件名含 `MEGA-BONUS`，建议在原始数据集或周边文件中搜索该关键词，可能对应某个活动、账号或邮箱。
2. **调取 4 笔转入交易的来源地址**：分析转入方是否为交易所热钱包、矿池或已知个人地址，可能反推钱包主人的身份线索。
3. **检查钱包文件创建时间与系统日志**：文件路径在 `review` 目录下，建议核对同一批次录入的其他钱包，看是否有相同命名规则或关联密码习惯。
4. **搜索该主地址在公开论坛/社交平台的痕迹**：`1PbHeg1...` 若曾在比特币论坛、Reddit 或交易备注中出现过，可能附带密码提示。
5. **核对录入时间 2026-06-23 前后的工单记录**：该钱包为何被录入？是否有对应的申诉、继承或找回工单？
6. **检查同目录下是否有 .txt/.md 说明文件**：数据集目录中常伴随说明文档，可能包含密码规则或脱敏提示。
7. **分析 3349 天跨度内的链上时间分布**：4 笔转入的具体时间点是否与某些事件（如币价高点、空投快照）重合，辅助判断持有人行为特征。
8. **确认该钱包是否属于某个已知“休眠巨鲸”名单**：若地址出现在公开的休眠地址榜单中，可借助公开情报扩大线索面。

### 7. 已尝试方向回顾（避免重复投入）
- **文件完整性检查**：已确认 BDB 格式完整，无需重复做文件修复。
- **链上交易统计**：已拉取全部 4 笔转入与 0 笔转出，方向字段已确认，无需再次同步。
- **密码验证状态**：已确认 `cracked_password=否`，当前不应继续投入算力做无差别猜测，而应转向线索收集。
- **业务价值判断**：已确认余额非“小额”，无需再走低优先级流程。
- **未尝试方向**：尚未进行外部情报关联（如地址反向查询、文件名关键词扩展），这是下一步的重点，而非重复跑字典。