BTC 钱包风险检测与恢复评估 #957

### 1. 一句话结论
这是一枚**BTC 老钱包**（2013年创建、2026年仍有转入），当前余额 **142.09893994 BTC**，但**尚未获得明文密码**，且业务标注“余额很小”为**否**——即从业务角度看，这并非一个被判定为“低价值/可放弃”的钱包，仍有继续推进的必要。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 957，币种 BTC，主地址 `1PYAYtSoMnuFDyesggDnqwUk9XRzkAhfK3`，钱包名 `MEGA-BONUS / wallet_141.dat`。
- **文件信息**：格式 `bitcoin_legacy_bdb`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/...`，文件大小 110,592 字节（约 108 KB）。
- **时间线**：录入时间 2026-06-23 00:37:09，数据标注日期 2026-06-23 00:57:20，最近更新 2026-08-06 07:34:45。
- **余额与标注**：余额 142.09893994 BTC；`余额很小(≤阈值, 业务标注) = 否`。
- **密码状态**：`已知密码存在(强证据) = 否`，即目前**没有**任何已确认的明文密码或助记词。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）26 笔，最后转出 2013-10-23；
- 转入（receive）46 笔，最后转入 2026-05-22；
- 近 30 天转入/转出均为 0；
- 交易跨度 5246 天（约 14.4 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证流程。当时我们看到的是一个 `bitcoin_legacy_bdb` 格式的旧版 Bitcoin Core 钱包文件，文件名带有 “MEGA-BONUS” 字样，推测可能与某个历史活动或奖励发放相关，但这只是命名推测，**没有链上证据直接支撑**。

我们首先核对了钱包文件本身：大小约 108 KB，属于典型的早期 BDB 钱包体积。随后我们拉取了链上交易摘要，发现一个很有意思的时间结构——**转出集中在 2013 年（最后转出 2013-10-23），而转入一直持续到 2026 年 5 月**。这说明这个地址在 2013 年之后基本只进不出，可能是一个长期持有的地址，也可能是某个服务方在持续归集资金。

在密码层面，我们检查了是否存在已知的明文密码或助记词记录，结果字段为“否”。这意味着我们目前**没有可用的密码凭据**，所有后续尝试都停留在“测试中”状态，尚未验证成功。

同时，业务侧给了一个关键标注：`余额很小 = 否`。这说明系统并不认为 142 BTC 是“低价值可放弃”的资产，因此这个钱包在优先级队列里是**靠前**的。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 26 笔，全部发生在 2013 年，最后一笔转出时间为 2013-10-23 02:08:29。近 30 天转出笔数为 0。
- **转入（receive）**：共 46 笔，最后一笔转入时间为 2026-05-22 11:29:47。近 30 天转入笔数为 0。
- **解读**：该地址在 2013 年有过一段活跃的支出期，之后转入持续到 2026 年 5 月，但最近 30 天已无任何活动。**我们不知道**这些转入的具体来源方（没有对方地址字段），也**不知道**2013 年转出的具体去向（同样缺少对手方数据）。如需进一步分析资金流向，需要补充 `wallet_transactions` 的完整字段（如 txid、对手地址、金额）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：`余额很小(≤阈值) = 否`。这表示业务系统**没有**因为余额过低而将本钱包标记为“低价值/可放弃”。注意：这**不等于**余额为 0，而是指余额高于阈值。
- **明文密码状态**：`已知密码存在 = 否`。即**尚未获得任何明文密码、助记词或私钥**。所有关于“已破解”的说法均不成立，当前仍处于“测试/尝试”阶段，未验证成功。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：提供 `wallet_transactions` 的 txid、对手地址、金额字段，用于还原 2013 年转出与 2026 年转入的资金链路。
2. **查找钱包文件关联的旧日志或备份**：在原始路径 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，寻找同目录的 `.log`、`.conf` 或相邻钱包文件，可能包含密码提示或派生信息。
3. **核对“MEGA-BONUS”命名来源**：检索业务系统内是否有名为 MEGA-BONUS 的活动记录，确认该钱包是否属于某个历史营销活动。
4. **检查 2026-05-22 最后一笔转入的关联上下文**：这笔转入距离录入时间（2026-06-23）仅一个月，可能是某个系统自动归集行为，值得追溯触发方。
5. **获取钱包文件的创建时间与修改时间元数据**：文件系统时间戳可能比录入时间更早，有助于判断钱包实际生成时间。
6. **确认是否有旧版 Bitcoin Core 的 `wallet.dat` 备份**：早期用户常有多份备份，备份文件可能未加密或使用弱密码。
7. **查询该主地址在区块链浏览器上的首笔交易时间**：与文件时间戳交叉验证，确认钱包实际启用时间。
8. **补充“余额很小”阈值的具体数值**：明确业务标注的判定标准，以便评估 142 BTC 在该体系中的相对优先级。

### 7. 已尝试方向回顾（避免重复投入）
- **密码凭据检索**：已确认系统内**不存在**已知的明文密码或助记词记录，无需再次全局搜索该字段。
- **交易活跃度判断**：已确认近 30 天无任何转入/转出，短期内不会因新交易产生新线索，不必反复拉取链上状态。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，属于旧版格式，无需重复做格式探测。
- **业务标注核对**：已确认“余额很小 = 否”，该钱包未被业务侧降级，后续投入应聚焦于**补充交易对手数据**和**查找历史备份/日志**，而非重复验证余额或密码状态。