BTC 钱包风险检测与恢复评估 #1005

### 1. 一句话结论

这是一个名为“MEGA-BONUS”的比特币 Legacy 格式钱包（ID 1005），当前链上余额为 **2.04866236 BTC**，属于**有实际资产、非零余额**的钱包；截至数据更新日，**尚未获得明文密码**，破解工作仍在进行中。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：名称 `MEGA-BONUS`，主地址 `1QAZ3GbyK2bpuejqmoqQaveqoBDFjiY2Ds`，文件为 `bitcoin_legacy_bdb` 格式（BDB 数据库，Legacy 地址）。
- **资产现状**：余额 **2.04866236 BTC**，业务标注“余额很小（≤阈值）”为 **否**，即该余额**不属于小额忽略范围**。
- **密码状态**：字段 `cracked_password/actual_password` 为 **否**，即**没有强证据表明已拿到明文密码**。
- **文件信息**：文件大小 1,589,248 字节，路径位于 `fake.czb.com/BTC/real/` 目录下，录入时间 2026-06-23，最近更新 2026-08-06。
- **交易统计**（依据 `wallet_transactions.direction` 字段）：
- 转入 47 笔，最后转入 2015-12-17；
- 转出 3 笔，最后转出 2016-04-20；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 537 天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包是在 2026 年 6 月 23 日被纳入取证清单的。当时我们拿到的是一个约 1.5 MB 的 `.dat` 文件，属于比特币早期常见的 Legacy/BDB 格式。这类钱包文件通常包含密钥材料与交易历史，但**文件本身是加密的**，需要口令才能解锁。

我们首先对文件做了静态识别，确认了格式与主地址；随后通过链上数据同步，发现该地址历史上比较活跃——有 47 笔转入，但只有 3 笔转出，且最后一笔转出停留在 2016 年 4 月。也就是说，**这个地址在 2016 年之后基本处于休眠状态**，但余额并未清零。

在尝试解锁的过程中，我们**没有找到任何已保存的明文密码或口令线索**（`cracked_password = 否`）。目前的工作停留在“确认文件完整、格式正确、余额真实存在”的阶段，尚未进入“已解锁”状态。整个推进过程是合规的取证流程：先识别、再同步、再尝试，每一步都有字段记录可回溯。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 **47 笔**，最后一笔发生在 **2015-12-17 05:01:37**。说明该地址在 2015 年底前曾频繁接收资金。
- **转出（send）**：共 **3 笔**，最后一笔发生在 **2016-04-20 02:58:07**。说明在 2016 年 4 月之后，该地址**没有再发生任何转出**。
- **近期活动**：近 30 天转入/转出均为 **0**，确认该钱包当前处于**完全休眠**状态。
- **未知项**：每笔交易的具体金额、对手地址、手续费等明细**未同步**，如需进一步分析资金流向，需补充交易明细数据。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额标注**：该钱包余额为 **2.04866236 BTC**，业务标注“余额很小（≤阈值）”为 **否**。即：**这不是一个被业务判定为“可放弃”的小额钱包**，具有继续投入取证的价值。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **否**。因此，**我们尚未获得明文密码，也未验证任何口令成功**。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **钱包文件创建时间与来源**：确认该 `.dat` 文件的生成时间、原始设备或备份来源，可能关联到口令设置习惯。
2. **交易对手地址与金额明细**：补充 47 笔转入、3 笔转出的完整交易记录，用于判断资金性质（如交易所提现、个人转账等）。
3. **钱包内其他元数据**：检查 BDB 文件中是否包含钱包名称、创建时间戳、密钥类型等附加字段。
4. **关联钱包线索**：查询同一路径目录下是否有其他 `.dat` 文件，可能使用相同口令或助记词体系。
5. **历史邮件/备注/文档**：搜索与“MEGA-BONUS”或该地址相关的文本记录，可能包含口令提示。
6. **2016 年 4 月转出后的链上流向**：分析最后一笔转出的去向地址，可能关联到钱包主人的其他身份信息。
7. **文件哈希与完整性校验**：确认当前文件未被篡改，排除部分损坏导致无法解锁的情况。
8. **用户行为时间线**：结合录入时间（2026-06-23）与最后交易时间（2016-04-20），推断该钱包可能属于“长期遗忘”类型，口令可能为早期简单密码。

### 7. 已尝试方向回顾（避免重复投入）

- **静态格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复。
- **链上交易同步**：已完成方向统计（转入/转出笔数与时间），但**未同步交易明细**，需补充数据而非重新统计。
- **密码存在性检查**：已确认 `cracked_password = 否`，**无需再次检查该字段**，应转向其他线索收集。
- **余额判定**：已确认非小额钱包，**不应按“余额为0”或“可放弃”处理**。
- **未尝试方向**：尚未进行任何口令猜测或字典测试（且本报告不提供攻击步骤），后续应优先从线索收集入手，而非盲目尝试。