BTC 钱包风险检测与恢复评估 #472

### 1. 一句话结论
这是一个余额已归零、录入于2026年5月的比特币旧版BDB钱包文件（ID 472），目前**尚未获得明文密码**，链上活动已静止，下一步重点应转向“为何余额归零”与“钱包来源背景”的取证，而非继续盲目测试。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：BTC 主地址 `1JkRGCfHufGcX3b1w9KUVL3rKQsjqB54Rz`，钱包名 `970M 0 e v60000 / 78-BTC.dat.orig`，格式为 `bitcoin_legacy_bdb`。
- **文件状态**：大小 1,024,000 字节，路径位于 `fake.czb.com/BTC/unknown/MEGA-BONUS_...` 目录下，**包含主密钥（MKey）**。
- **余额事实**：当前余额 `0.00000000` BTC，业务标注“余额很小（≤阈值）”为**是**。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有强证据表明已拿到明文密码**。
- **录入与更新时间**：录入 2026-05-17，更新 2026-08-06，数据标注日期 2026-06-23。
- **链上交易摘要**：转出 143 笔，转入 208 笔；最后转出 2025-03-07 08:51:32，最后转入 2025-03-07 08:50:45；近 30 天转入/转出均为 0；交易跨度 4953 天（约 13.5 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 5 月 17 日被录入系统，当时它被归类为“unknown”来源，文件名里的 `MEGA-BONUS` 和 `970M 0 e v60000` 暗示它可能来自某个批量打包的旧数据盘或历史备份集。

我们首先确认了文件格式是比特币经典的 `legacy_bdb`（Berkeley DB），并且文件内**确实包含主密钥（MKey）**——这意味着只要拿到密码，理论上就能解锁钱包。随后我们同步了链上交易数据，发现这个地址在 2025 年 3 月 7 日前后有过密集的转入转出（最后转入与最后转出仅相差约 47 秒），之后彻底沉寂。

到 2026 年 6 月 23 日，系统对该钱包做了数据标注，确认链上余额已归零。2026 年 8 月 6 日最后一次更新时，状态没有变化。整个过程中，我们**没有获得任何“密码已破解”的强证据**，因此目前仍停留在“有文件、有主密钥、但无密码”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 208 笔，最后转入时间 2025-03-07 08:50:45。近 30 天转入笔数为 0。
- **转出（send）**：共 143 笔，最后转出时间 2025-03-07 08:51:32。近 30 天转出笔数为 0。
- **解读**：在 2025-03-07 当天，该地址在 47 秒内完成了最后一笔转入和转出，随后再无任何链上活动。结合当前余额为 0，**可以推断该地址在最后活动时点附近完成了清空**（但注意：这是基于“余额为0 + 无后续交易”的合理推断，并非臆断具体去向）。
- **未知项**：转入的具体来源方、转出的具体去向地址，当前数据未同步，暂无法展示。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为 0 的业务标注**：这是**事实**，来自链上余额与业务阈值判断，标注为“是”。它只说明这个钱包目前没有可动用的 BTC，**不代表密码已被破解**。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得明文密码**，也没有任何“验证成功”的记录。所有关于“密码已拿到”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包文件的来源元数据**：如原始压缩包名称、上传者备注、批次编号，用于判断是否属于已知泄露数据集。
2. **补充链上交易详情**：拉取最后 10 笔转入/转出的对手地址与金额，确认清空路径。
3. **检查同目录其他钱包文件**：`MEGA-BONUS_970M 0 e v60000` 可能是一批钱包的命名前缀，对比同批次文件是否已有破解成功案例。
4. **查找文件名中 `970M 0 e v60000` 的语义**：可能是某个活动、群组或交易平台的标识，用于缩小密码构造背景。
5. **核对钱包内地址数量与派生路径**：确认除主地址外是否还有未同步的找零地址或隐藏余额。
6. **调取 2025-03-07 前后该地址的完整交易日志**：确认最后一笔转出是否确实清空全部余额。
7. **检查是否有历史密码提示或备注字段**：BDB 钱包中可能残留旧注释。
8. **评估是否值得继续投入**：鉴于余额为 0，除非有链下资产映射，否则继续破解的经济价值极低。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别与基础解析**：已确认是 `bitcoin_legacy_bdb`，包含主密钥，文件结构完整。
- **链上同步**：已完成交易摘要统计，确认余额归零、活动静止。
- **密码状态核查**：已确认当前无任何“密码已破解”的强证据，**不应再假设密码已拿到**。
- **未尝试方向**：尚未进行同批次文件对比、来源元数据深挖、对手地址分析。建议后续资源优先投向这些方向，而非对同一文件重复做无意义的格式猜测或暴力测试（此类细节不展开）。