BTC 钱包风险检测与恢复评估 #960

### 1. 一句话结论
钱包 960（BTC，主地址 1Q5tgRqjuMWSuGg1EcCuQSub45xaknvzFa）当前余额为 180.77718186 BTC，截至数据快照日（2026-08-06）我们**尚未获得明文密码**，且该钱包**未被业务标注为“余额很小/低价值”**，因此仍属于高优先级目标。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 960，币种 BTC，格式 `bitcoin_legacy_bdb`（老式 Bitcoin Core 钱包），文件名为 `MEGA-BONUS / wallet_180,77.dat`，大小 57,344 字节。
- **余额**：180.77718186 BTC（非零，且业务未打低价值标）。
- **密码状态**：`cracked_password/actual_password = 否`，即目前**没有**任何明文密码或助记词被确认。
- **录入与更新**：录入时间 2026-06-23 00:37:10，数据标注日期 2026-06-23 00:57:21，最近一次更新 2026-08-06 07:24:15。
- **链上交易摘要**（依据 `wallet_transactions.direction`）：
- 转出（send）1 笔，最后转出时间 2012-02-10 10:20:05。
- 转入（receive）14 笔，最后转入时间 2026-05-22 11:29:47。
- 近 30 天转出 0 笔、转入 0 笔。
- 交易时间跨度 5220 天（约 14.3 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最早在 2026 年 6 月 23 日被纳入取证流程。当时我们拿到的是一个老式 Bitcoin Core 钱包文件（BDB 格式），文件名叫 `MEGA-BONUS / wallet_180,77.dat`，大小约 56 KB，里面记录着 180 多个 BTC 的地址与密钥材料。

我们首先做了静态检查：确认文件格式、钱包版本、地址类型，并核对了链上交易摘要。结果显示这个钱包很“老”——最后一笔转出发生在 2012 年 2 月，之后 14 笔转入一直持续到 2026 年 5 月，说明它虽然长期休眠，但近期仍有入账行为。

接着我们尝试对钱包文件进行解密验证。这里要说明：我们**没有**拿到任何明文密码或助记词，`cracked_password` 字段为“否”。我们只是验证了文件结构完整、加密头存在，并确认当前没有可用口令能解锁该钱包。所有尝试均停留在“测试未通过”阶段，没有进入任何破解成功状态。

目前该钱包仍处于“待解锁”状态，余额未动，业务侧也未将其标记为低价值。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 2012-02-10 10:20:05。此后 14 年没有转出记录。
- **转入（receive）**：共 14 笔，最后一笔发生在 2026-05-22 11:29:47。近 30 天转入 0 笔。
- **近期动态**：近 30 天无任何转入或转出，钱包处于静默状态。
- **未知项**：我们**没有**每笔交易的金额、对手地址、交易哈希等明细数据，因此无法判断这 14 笔转入是否来自同一来源，也无法确认 180 BTC 是累积所得还是单笔大额。这些细节需要补充 `wallet_transactions` 的完整字段。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：该钱包余额为 180.77718186 BTC，**未被**标记为“余额很小/低价值”（`余额很小 = 否`）。因此它仍是有效目标。
- **明文密码状态**：**尚未获得**。`cracked_password/actual_password = 否`，即没有任何已确认的密码、助记词或私钥。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充完整交易明细**：获取 `wallet_transactions` 中每笔转入/转出的金额、时间、对手地址、交易哈希，用于判断资金结构。
2. **查找钱包文件关联元数据**：检查同一目录 `/www/czb-wallet-common/datasets/fake.czb.com/BTC/real/` 下是否有同名或相关配置文件、日志、备注。
3. **检索历史备份**：在录入时间（2026-06-23）之前的系统备份或归档中查找 `wallet_180,77.dat` 的旧版本，可能包含未加密或弱加密的密钥材料。
4. **核对“MEGA-BONUS”命名来源**：该名称可能对应某个活动、批次或业务记录，查找业务数据库中的关联表。
5. **检查地址 1Q5tgRqjuMWSuGg1EcCuQSub45xaknvzFa 的公开标签**：在区块链浏览器或第三方标签库中查询该地址是否被标记（如交易所、混币器、已知实体）。
6. **分析 2026-05-22 最后一笔转入的上下文**：该笔转入距离录入时间仅一个月，可能是关键线索（如测试转账、激活行为）。
7. **确认钱包文件哈希与完整性**：计算文件 SHA-256，与录入时的哈希比对，排除文件被篡改或截断的可能。
8. **补充“密码提示”类字段**：如果业务系统中有用户填写的密码提示、安全问题、备注等，优先提取。

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已完成格式、版本、路径、大小核对，确认是标准 `bitcoin_legacy_bdb` 钱包。
- **密码验证尝试**：已对现有候选口令进行过一轮验证，结果均为“未通过”，未获得明文密码。**请勿重复投入相同口令集**。
- **链上摘要分析**：已确认转入/转出笔数与时间跨度，但未深入单笔明细（因数据缺失）。
- **业务标注核对**：已确认该钱包未被标记为低价值，排除“余额为0”的误判。

> 下一步应优先补充交易明细与文件关联元数据，避免在无新线索的情况下重复跑相同口令测试。