BTC 钱包风险检测与恢复评估 #1417

### 1. 一句话结论
这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1417），当前链上余额为 **14.70467759 BTC**，但截至目前 **尚未获得明文密码**，且业务层面 **未被标记为“余额很小”**，因此该钱包仍具备较高价值与继续推进的必要性。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：`MEGA-BONUS_1AHgGcw8LjzhsRKtKxjvyRSUSAnkcAEMjX.dat`，主地址 `1AHgGcw8LjzhsRKtKxjvyRSUSAnkcAEMjX`，格式为 `bitcoin_legacy_bdb`（老式 Berkeley DB 钱包）。
- **文件状态**：文件大小 65536 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下，说明已进入人工复核流程。
- **余额与标注**：余额 14.70467759 BTC；业务标注“余额很小(≤阈值)”为 **否**，即该钱包不属于低优先级小额钱包。
- **密码状态**：强证据字段 `cracked_password/actual_password` 为 **否**，即目前没有已验证的明文密码。
- **录入与更新时间**：录入于 2026-06-23，最近更新于 2026-08-05，说明近期仍有操作或检查动作。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包是在 2026 年 6 月 23 日进入我们视野的。当时它被归入 `review` 目录，意味着系统或人工初步判断它“值得再看一眼”。我们首先确认了它的身份：一个 Legacy BDB 格式的比特币钱包文件，名字叫“MEGA-BONUS”，主地址是 `1AHg...AEMjX`。

随后我们核对了链上数据，发现这个地址并不“冷清”——它有 9 笔转入、2 笔转出，时间跨度长达 4987 天（约 13.6 年）。最近一笔转入发生在 2025 年 2 月，而最后一笔转出则停在 2014 年 12 月。这说明该地址在 2014 年后基本只进不出，直到 2025 年还有一笔入账。

我们同步检查了业务标注：该钱包余额 14.7 BTC，远高于“小额忽略”阈值，因此被列为重点对象。但关键卡点在于——我们手里并没有它的明文密码。所有关于“能否打开钱包”的判断，目前都停留在“未验证”状态。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **9 笔**，最后一笔发生在 **2025-02-12 03:41:37**。近 30 天转入笔数为 **0**。
- **转出（send）**：共 **2 笔**，最后一笔发生在 **2014-12-03 08:53:32**。近 30 天转出笔数为 **0**。
- **解读**：该地址在 2014 年 12 月之后基本处于“只收不付”状态，且 2025 年仍有入账，说明它并未被完全遗忘。但近 30 天无任何动静，当前处于静默期。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 14.70467759 BTC，业务标注“余额很小”为 **否**，即 **不适用“余额为0/小额忽略”的规则**，必须继续跟进。
- **明文密码状态**：强证据字段显示 `cracked_password/actual_password = 否`，即 **尚未获得任何已验证的明文密码**。所有关于“已破解”的说法均不成立，当前仍处于“未解锁”阶段。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找钱包创建时的备注或关联文件名线索**：文件名含 `MEGA-BONUS`，可排查历史业务活动中是否有同名活动或营销文案，可能暗示密码习惯。
2. **调取 2014 年 12 月前后该地址的关联交易对手方**：最后两笔转出发生在 2014 年，对手方地址或交易备注可能包含身份线索。
3. **排查 2025 年 2 月最后一笔转入的来源**：这笔入账说明有人或系统仍持有该地址私钥，来源方可能是关键突破口。
4. **检查钱包文件元数据**：BDB 文件内部可能残留创建时间、主机名、钱包描述等字段（仅作取证分析，不涉及暴力尝试）。
5. **检索同一路径下其他钱包文件**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 下是否有同批次或命名相似的钱包，可能共用密码规则。
6. **核对业务系统日志中该钱包的录入人/录入批次**：2026-06-23 录入时是否有操作员备注或上传来源记录。
7. **补充该地址在 2014 年之前的交易历史**：当前跨度 4987 天，但更早的链上数据可能揭示钱包创建初期的使用场景。
8. **确认该钱包是否曾导出过私钥或用于其他服务**：如曾用于在线服务，可能留有密码提示或重置机制记录。

---

### 7. 已尝试方向回顾（避免重复投入）
- **业务标注排查**：已确认该钱包不属于“余额很小”的低优先级类别，无需再重复评估其价值。
- **链上交易结构梳理**：已明确转入 9 笔、转出 2 笔及时间分布，无需重新统计。
- **密码状态确认**：已核实 `cracked_password/actual_password = 否`，当前不应再假设“已破解”或“密码已知”，避免基于错误前提继续投入。
- **文件基础信息采集**：已记录文件大小、路径、格式，下一步应转向外部线索（如交易对手方、业务日志），而非重复检查文件本身。