BTC 钱包风险检测与恢复评估 #983

### 1. 一句话结论
钱包 983（MEGA-BONUS / wallet_22,99.dat）是一枚 **BTC 老钱包**，当前余额约 **22.9995 BTC**，链上活动集中在 2014 年（转出）与 2025 年（转入），**目前尚未获得明文密码**，且业务标注“余额很小”为**否**，即余额并不小，需继续推进。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 983，币种 BTC，名称 `MEGA-BONUS / wallet_22,99.dat`，格式 `bitcoin_legacy_bdb`（老版 Bitcoin Core 钱包）。
- **余额**：22.99952594 BTC（业务标注“余额很小”=否，即余额显著，非零散小额）。
- **主地址**：`1NEmCZxMeXmxuqdX9hpuEA3WWUKB13BTM7`（以 1 开头，符合 legacy P2PKH 地址格式）。
- **文件信息**：大小 102400 字节（约 100 KB），路径位于 `.../review/MEGA-BONUS_wallet_22,99.dat-1de70ee629d5/`，录入时间 2026-06-23，最后更新 2026-08-06。
- **链上交易统计**（依据 `wallet_transactions.direction`）：
- 转出（send）4 笔，最后转出时间 **2014-03-20 20:35:21**。
- 转入（receive）9 笔，最后转入时间 **2025-01-28 15:27:07**。
- 近 30 天转出/转入均为 0 笔。
- 交易时间跨度 4311 天（约 11.8 年）。
- **密码状态**：`cracked_password / actual_password` 字段为**否**，即**没有**已确认的明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被录入系统，当时我们拿到的是一个约 100 KB 的 legacy 格式钱包文件，文件名里带着“MEGA-BONUS”和“22,99”字样，初步判断是某个活动或奖励钱包。

我们首先做了静态检查：确认了主地址、余额和文件格式，并同步了链上交易摘要。链上数据显示，这枚钱包在 **2014 年 3 月** 有过 4 笔转出，之后沉寂了很长时间，直到 **2025 年 1 月** 又出现 9 笔转入。这个“先出后进”的模式，说明它可能经历过一次“清空后再回收”的过程，也可能是某个历史活动钱包被重新注资。

在密码方面，我们目前**没有**任何已确认的明文密码。系统里 `cracked_password` 字段为“否”，意味着我们还没有走到“验证成功”那一步。我们也没有发现任何“余额为 0”的业务标注——恰恰相反，余额约 23 BTC，属于高价值目标，值得继续投入。

整个推进过程是：**确认身份 → 梳理链上行为 → 评估密码状态**，目前停留在“密码未明、交易已梳理”的阶段。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 4 笔，全部发生在 **2014 年 3 月 20 日 20:35:21 之前**。说明该钱包在 2014 年曾主动向外支付过资金，但具体去向与金额未在本摘要中提供。
- **转入（receive）**：共 9 笔，最后一笔发生在 **2025 年 1 月 28 日 15:27:07**。说明该钱包在 2025 年收到过资金，可能与当前 22.9995 BTC 余额直接相关。
- **近 30 天**：转入、转出均为 0，说明近期无活跃操作。
- **未同步数据**：每笔交易的**具体金额、对手地址、交易哈希**在本摘要中未提供，因此无法判断“哪笔转入构成了当前余额”，也无法判断转出是否清空了当时余额。如需进一步解读，需补充交易明细。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：字段值为**否**，即系统明确认为该钱包余额**不小**（22.9995 BTC），不属于“低价值/可放弃”类别。
- **是否拿到明文密码**：**否**。`cracked_password / actual_password` 字段为“否”，表示我们**尚未获得任何已确认的密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“未取得明文密码”状态。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**（每笔转入/转出的金额、时间、对手地址、交易哈希），用于精确还原余额构成。
2. **查找钱包文件来源**：`MEGA-BONUS` 名称与 `22,99` 数字是否对应某个已知活动、空投或奖励计划，可缩小密码猜测范围。
3. **检查钱包文件内部结构**：确认是否包含 `mkey`（加密密钥）与 `ckey` 等字段，判断加密方式（是否使用旧版 AES-256-CBC）。
4. **收集与该主地址相关的公开标签**（如交易所充值地址、已知黑名单/白名单地址），辅助判断资金性质。
5. **确认 2014 年转出与 2025 年转入的关联性**：是否同一对手方，是否存在“找回”或“归集”行为。
6. **查找钱包文件备份**：路径中 `review` 目录暗示可能来自某个审查/复核流程，可追溯原始提交人及附带说明。
7. **核对录入时间与数据标注时间**（2026-06-23 00:37 与 00:57），确认是否有同步延迟或人工干预痕迹。
8. **评估是否可申请链上数据服务**（如专业地址聚类分析），以获取更完整的资金流图谱。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认格式为 `bitcoin_legacy_bdb`，文件大小 100 KB，路径与命名已记录，无需重复。
- **链上摘要梳理**：已获取转入/转出笔数与时间跨度，但**未获取明细**，因此下一步不应重复拉取摘要，而应直接申请明细数据。
- **密码状态确认**：已确认 `cracked_password = 否`，说明当前没有可用的明文密码，**不应假设“已破解”**，也不应重复测试已被否定的候选。
- **业务标注核对**：已确认“余额很小 = 否”，即该钱包被认定为高价值，**不应按低优先级处理**。
- **未尝试方向**：尚未进行交易明细级分析、来源背景调查、文件内部结构解析，这些是下一步重点，而非重复已有工作。