BTC 钱包风险检测与恢复评估 #1334

### 1. 一句话结论
这是一个持有约 **17.09 BTC** 的 Legacy 格式比特币钱包（钱包ID 1334），目前**尚未获得明文密码**，且业务上**不认为余额为0**；链上活动显示它在 2011 年有过一次转出，之后长期沉寂，直到 2025 年才重新出现转入记录。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `1NFp8YqgBjSRFdgWt7ynmojG8gpQDjVDpJ`，钱包名称 `MEGA-BONUS`，文件为 `bitcoin_legacy_bdb` 格式（BDB 数据库）。
- **资产规模**：当前余额 **17.09001866 BTC**，业务标注“余额很小”为**否**，即该余额不被视为小额或零头。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即**没有**强证据表明已拿到明文密码。
- **文件信息**：大小 57,344 字节，路径位于 `.../review/MEGA-BONUS_.../1NFp8YqgBjSRFdgWt7ynmojG8gpQDjVDpJ.dat`。
- **录入与更新**：录入于 2026-06-23，最近更新于 2026-08-05，数据标注日期为录入当天。
- **链上统计**（依据 `wallet_transactions.direction`）：
- 转出（send）1 笔，最后发生在 **2011-07-11**。
- 转入（receive）14 笔，最后发生在 **2025-01-28**。
- 近 30 天转入/转出均为 0 笔。
- 交易时间跨度 **4956 天**（约 13.5 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入审查流程。当时我们拿到的是一个 Legacy 格式的 `.dat` 文件，大小约 56 KB，属于典型的早期 Bitcoin Core 钱包数据库。从文件名 `MEGA-BONUS` 和地址前缀看，它很可能来自某个历史活动或奖励场景。

我们首先核对了链上数据：发现该地址在 2011 年 7 月有过一次转出，之后长达 13 年没有任何动静，直到 2025 年 1 月才出现一笔转入。这个“长期休眠后突然苏醒”的模式，让我们倾向于认为它可能是一枚被遗忘的早期钱包，而非高频交易地址。

在文件层面，我们确认了格式为 `bitcoin_legacy_bdb`，这意味着密钥派生和加密方式都遵循旧版规范。我们尝试了常规的合规验证流程（例如检查文件完整性、确认地址与余额是否匹配链上数据），但**没有**进行任何暴力破解或字典攻击。目前，密码字段仍显示为“否”，说明我们**尚未获得明文密码**，也没有任何证据表明破解成功。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 **1 笔**，发生在 **2011-07-11 13:45:41**。这是该地址唯一一次主动支出，距今已超过 14 年。
- **转入（receive）**：共 **14 笔**，最后一笔发生在 **2025-01-28 15:27:07**。说明该地址在 2025 年初仍收到过资金。
- **近期动态**：近 30 天转入/转出均为 **0**，即当前处于静默状态。
- **未同步/未知**：我们没有关于每笔转入的具体金额、对手地址或交易哈希的明细数据，因此无法判断这 14 笔转入是否与余额 17.09 BTC 完全对应，也无法确认 2011 年那笔转出的具体去向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额为0的业务标注**：**否**。业务系统明确认为该钱包余额（17.09 BTC）**不是**小额或可忽略的，因此它仍是一个高价值目标。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 为“否”，意味着我们**没有**已验证的密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 14 笔转入的完整交易哈希与金额明细**，用于核对余额构成。
2. **查找 2011 年那笔转出的目标地址**，可能关联到钱包主人的身份或旧交易习惯。
3. **检查钱包文件内是否包含非地址元数据**（如备注、标签、创建时间戳），可能提供线索。
4. **确认 2025-01-28 转入的来源**——是交易所提现、矿池付款，还是个人转账？这有助于判断钱包是否仍被原主人控制。
5. **调取钱包文件创建时间与最后修改时间**，与录入时间对比，判断文件是否被复制或修改过。
6. **检索同一路径下是否有其他相关文件**（如备份、日志、密钥碎片）。
7. **尝试从公开渠道（如区块链浏览器）查询该地址的历史标签**，看是否被标记为已知实体。
8. **补充钱包加密方式信息**（是否启用 `encryptwallet`），以决定后续合规验证的复杂度。

### 7. 已尝试方向回顾（避免重复投入）
- **链上余额与地址匹配验证**：已完成，确认余额与主地址一致。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测。
- **交易方向统计**：已基于 `direction` 字段完成转入/转出计数，无需重新统计。
- **密码状态核查**：已确认 `cracked_password` 为否，**不应**再假设“已破解”或“密码已知”。
- **未尝试**：未进行任何暴力破解、字典攻击或规则推导（合规限制），也未尝试从文件内部提取密钥材料。后续工作应聚焦于**外部线索收集**（交易对手、来源地址、文件元数据），而非重复测试密码。