BTC 钱包风险检测与恢复评估 #1428

### 1. 一句话结论
钱包ID 1428（BTC，主地址 `1Q58DUT7AVNFCg7CxAivDK9s3pBRAsSj2c`）当前链上余额为 **1873.55825457 BTC**，但截至目前**尚未获得明文密码**，且该钱包在近30天内无任何转入/转出活动，处于静默状态。

### 2. 我们掌握的事实（证据链）
- **钱包基础信息**：版本/格式为 `bitcoin_legacy_bdb`，钱包名称 `MEGA-BONUS / 2026.46416785.dat`，文件大小 3,653,632 字节，录入时间 2026-06-23，最后更新 2026-08-05。
- **余额状态**：链上余额 1873.55825457 BTC，业务标注“余额很小”为**否**（即不视为小额钱包）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即**没有强证据表明已拿到明文密码**。
- **交易统计**（来自 `wallet_transactions.direction`）：
- 转出（send）1998 笔，最后转出时间 2024-10-04 08:15:00；
- 转入（receive）2136 笔，最后转入时间 2026-05-22 13:41:32；
- 近30天转出/转入笔数均为 **0**；
- 交易时间跨度 4356 天（约 11.9 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入审查清单，当时我们拿到的是一个 legacy 格式的 BDB 钱包文件（`MEGA-BONUS_2026.46416785.dat`）。从文件命名和路径看，它属于某个“MEGA-BONUS”活动批次，但文件名中的 `2026.46416785` 更像内部编号而非日期。

我们首先对文件本身做了静态检查，确认它是标准的 Bitcoin Core 旧版钱包格式，文件大小约 3.6 MB，属于中等规模（几千个密钥/地址的典型大小）。随后我们核对了链上数据，发现这个地址的余额并不小（1873 BTC），而且交易历史很长——从 2012 年左右一直活跃到 2026 年 5 月，跨度接近 12 年。

关键转折点在于：**我们始终没有拿到密码**。尽管文件结构完整、地址有效，但 `cracked_password` 字段始终为“否”。这意味着我们目前只能看到钱包的“外壳”（地址和余额），无法打开“内胆”（私钥控制权）。近 30 天链上零活动也说明，这个钱包在 2026 年 5 月最后一次转入后，就再也没有被操作过。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 2136 笔，最后一笔发生在 2026-05-22 13:41:32。近30天转入笔数为 0，说明该地址在最近一个月内没有收到任何资金。
- **转出（send）**：共 1998 笔，最后一笔发生在 2024-10-04 08:15:00。近30天转出笔数为 0，说明该地址在最近一个月内没有支付/转出行为。
- **净流向判断**：转入笔数（2136）略多于转出笔数（1998），但**不能据此推断净流入或净流出**，因为每笔金额未知。当前余额 1873.55825457 BTC 是链上事实，但历史资金如何汇聚到这一余额，需要逐笔金额数据才能还原。
- **未同步数据**：暂无每笔交易的金额、对手地址、时间戳明细，因此无法做更细的流向分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，即业务上**不认为**这是小额/零价值钱包。1873 BTC 的余额显然需要严肃对待。
- **是否拿到明文密码**：**否**。`cracked_password/actual_password` 字段为“否”，表示目前**没有**任何强证据表明已获取密码、助记词或私钥。所有关于“已破解”的说法均不成立。
- **当前状态**：钱包文件已获取、链上数据已同步，但**访问控制权（密码）尚未突破**，处于“看得见、摸不着”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该钱包的历史密码提示/备注**：检查钱包文件内是否有 `wallet.dat` 自带的备注字段或旧版 `passphrase` 提示。
2. **查找同一批次（MEGA-BONUS）其他钱包的密码复用情况**：如果同批次有已成功解锁的钱包，可能使用相同或相似口令策略。
3. **调取 2024-10-04 最后一次转出前的操作日志**：该时间点前后是否有系统备份、运维工单或客服聊天记录提及此钱包。
4. **补充链上交易明细（金额+对手地址）**：用于判断资金归集模式，可能指向创建者身份或用途。
5. **检查文件系统元数据**：`/www/czb-wallet-common/datasets/fake.czb.com/BTC/review/` 路径下的目录名 `51e4c197275b` 是否为哈希值，尝试关联到其他钱包ID。
6. **调取 2026-05-22 最后一笔转入的关联地址**：该地址可能是关联方，其钱包或账户可能有密码线索。
7. **核对钱包文件修改时间与录入时间差**：文件路径显示录入于 2026-06-23，但最后链上活动是 05-22，中间 1 个月是否有离线存储或备份记录。
8. **查询该地址在公开区块链浏览器上的标签**：如被交易所、矿池或混币器标记，可能指向来源。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件分析**：已确认钱包格式为 `bitcoin_legacy_bdb`，文件结构完整，但未发现内嵌明文密钥或简单口令。
- **链上数据同步**：已拉取该地址全部交易统计（转入/转出笔数、时间跨度），但未做逐笔金额分析（因数据未同步）。
- **密码状态核实**：已确认 `cracked_password` 字段为否，**未进行**任何暴力破解或字典攻击（合规要求），也未尝试任何可能泄露口令的操作。
- **业务标注核对**：已确认该钱包不属于“余额很小”的忽略清单，需要继续跟进。
- **未尝试方向**：未进行任何涉及私钥推导、碰撞或在线猜测的尝试；未访问任何外部破解服务。