BTC 钱包风险检测与恢复评估 #1037

### 1. 一句话结论
这是一个持有约 **0.549 BTC** 的 Legacy 格式比特币钱包（ID 1037），目前**尚未获得明文密码**，但通过链上数据已还原出清晰的“长期沉睡、近期苏醒”资金轨迹，下一步最有价值的线索是围绕 2026 年 3 月 29 日那笔转入资金的来源地址展开。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包名 `MEGA-BONUS`，主地址 `1MJ5ebhcgZczc5qvdJM3h5SNYgUjDxjWeD`，文件格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **资产规模**：当前余额 **0.54917357 BTC**，业务标注“余额很小”为 **否**（即不认为这是低价值钱包）。
- **录入与更新时间**：2026-06-23 录入，2026-08-06 最后更新，数据标注日期为 2026-06-23。
- **文件特征**：大小 229,376 字节（224 KB），路径位于 `unknown` 分类目录下，说明来源归属尚未确认。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转入 49 笔，转出 1 笔；
- 最后转出：2012-08-19；最后转入：2026-03-29；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 5047 天（约 13.8 年）。
- **密码状态**：`cracked_password/actual_password` 字段为 **否**，即目前没有已验证的明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初进入视野，是因为它被归入 `unknown` 目录——即我们拿到了文件，但不知道它属于谁、来自哪次任务。文件名的 `MEGA-BONUS` 和地址前缀暗示它可能来自某个历史活动或奖励计划，但这只是命名猜测，没有直接证据。

我们先把文件做了基础体检：确认是 Legacy BDB 格式，大小 224 KB，属于早期比特币客户端常见结构。随后我们同步了链上数据，发现一个非常有意思的时间线：**这个钱包在 2012 年 8 月 19 日转出过一次，之后长达 13 年多没有任何转出记录**，直到 2026 年 3 月 29 日突然收到一笔转入。转入后余额变为现在的 0.549 BTC，且近 30 天没有任何动静。

这让我们判断：**这不是一个“死钱包”，而是一个近期被重新激活或被人为注入资金的地址**。至于密码，我们目前只确认“没有已知明文密码”，并未进入任何破解成功状态。整个推进过程目前停留在“数据整理与链上画像”阶段，尚未触及密码验证环节。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2012-08-19 17:25:50**。这是该地址历史上唯一一次主动支出，距今已超过 13 年。
- **转入（receive）**：共 49 笔，最后一笔发生在 **2026-03-29 21:45:48**。这 49 笔转入的具体金额分布、时间间隔尚未逐笔展开分析（数据未同步明细）。
- **近期活跃度**：近 30 天转入 0 笔、转出 0 笔，即当前处于静默状态。
- **未知项**：49 笔转入中是否包含“找零回退”或“同一来源拆分”目前未知；2012 年那笔转出的对手地址未知；2026 年 3 月那笔关键转入的来源地址未知。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 0.549 BTC，业务标注“余额很小”为 **否**，即业务上不认为它是低价值/可放弃钱包，值得继续投入。
- **密码状态**：`cracked_password/actual_password` 为 **否**，即**尚未获得明文密码**，也没有任何“验证成功”的记录。当前所有工作停留在链上分析和文件结构确认，未进入密码恢复成功阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **调取 2026-03-29 21:45:48 那笔转入的完整交易哈希与对手地址**——这是最近一次激活，来源方大概率知道钱包用途或密码线索。
2. **导出 49 笔转入的逐笔明细（时间、金额、对手地址）**，用于识别是否存在固定打款方或交易所热钱包地址。
3. **核查 2012-08-19 那笔转出的对手地址**，确认是否与某个已知交易所或矿池关联。
4. **检索钱包文件名 `MEGA-BONUS` 在历史活动/推广记录中的出现痕迹**（如论坛、空投活动、老牌水龙头网站）。
5. **检查该地址是否出现在任何公开的“比特币富豪榜”或“沉睡地址监控”列表中**，以获取第三方标注信息。
6. **确认文件来源路径 `/www/czb-wallet-common/datasets/fake.czb.com/` 中的 `fake.czb.com` 是否为测试网或模拟环境**——若为模拟数据，则链上时间线可能被人为构造。
7. **对比该地址在 2012 年与 2026 年的地址格式变化**（Legacy 地址本身未变，但可查是否曾出现在 P2SH 或 Bech32 关联交易中）。
8. **补充钱包文件的创建时间元数据（如文件 inode 时间、BDB 内部时间戳）**，用于交叉验证录入时间 2026-06-23 是否合理。

### 7. 已尝试方向回顾（避免重复投入）
- **已完成**：文件格式识别（Legacy BDB）、基础链上统计（转入/转出笔数、时间跨度、最后活跃时间）、余额确认。
- **已排除**：近 30 天活跃度（无新交易）；业务低价值判断（余额不小，未放弃）。
- **未尝试/需避免重复**：不要再次对文件做全盘暴力扫描（无密码线索时效率极低）；不要重复核对已同步的 49/1 笔统计数字；不要在没有对手地址的情况下盲目猜测 2012 年转出性质——应优先获取交易哈希再分析。