BTC 钱包风险检测与恢复评估 #1443

### 1. 一句话结论
这是一枚创建于2014年、至今仍有 **0.32711932 BTC** 余额的 Legacy 格式比特币钱包；目前**尚未获得明文密码**，但链上数据显示其存在长期休眠后于2026年初重新活跃的特征，值得继续围绕“历史交易对手方”与“钱包文件来源”两条线做合规取证。

### 2. 我们掌握的事实（证据链）
- **钱包本体**：ID 1443，币种 BTC，格式 `bitcoin_legacy_bdb`，文件 `wallet_0,299.dat`，大小 901,120 字节，路径指向 `fake.czb.com/BTC/review/MEGA-BONUS_...`。
- **余额**：0.32711932 BTC（业务标注“余额很小”为**否**，即该余额未触发小额忽略阈值）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**——即目前**没有**任何明文密码或助记词被证实。
- **录入与更新**：录入时间 2026-06-23 00:47:21，数据标注日期 2026-06-23 00:57:47，最近更新 2026-08-05 23:54:59。
- **链上统计（依据 `wallet_transactions.direction`）**：
- 转出（send）2 笔，最后转出 2014-05-15 13:27:09；
- 转入（receive）24 笔，最后转入 2026-01-23 02:32:38；
- 近30天转入/转出均为 0 笔；
- 交易时间跨度 4,427 天（约 12.1 年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
故事要从 2026 年 6 月 23 日说起。那天凌晨，系统在 `fake.czb.com` 的 BTC 复审目录下发现了一个名为 `MEGA-BONUS_wallet_0,299` 的 Legacy 钱包文件。文件不大不小——901,120 字节，里面躺着一个 2014 年就存在的地址 `1n4XFLTcg3fxJuWfUpfKb6eThcB9fwS7c`。

我们首先核对了它的“出生证明”：链上数据显示，这个地址在 2014 年 5 月 15 日有过最后一笔转出，之后转入记录却一直延续到 2026 年 1 月 23 日——也就是说，它并非一个完全死掉的地址，而是在今年年初还有资金进来。这让我们提高了优先级。

接着我们检查了钱包文件的“锁”是否已被打开。结论很明确：**没有**。`cracked_password` 字段为否，意味着我们手里没有可用的明文密码或助记词，所有关于“已破解”的说法都不成立。

我们随后梳理了交易统计：转入 24 笔、转出 2 笔，近 30 天无动静。结合录入时间（6 月 23 日）和最近更新（8 月 5 日），说明这个案子在系统里被持续跟踪了约一个半月，但尚未突破密码关口。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：共 2 笔，最后一笔发生在 **2014-05-15**。此后至今没有任何转出记录。
- **转入（receive）**：共 24 笔，最后一笔发生在 **2026-01-23**。近 30 天转入为 0。
- **解读**：该地址在 2014 年有过少量支出，随后长期休眠；但在 2026 年 1 月出现了一笔转入，使地址重新“活跃”。由于我们只有 `direction` 统计字段，**无法判断**这笔 2026 年转入的具体金额、对手方地址或交易哈希——这些属于数据缺口。
- **未知项**：转入/转出的具体金额明细、对手方地址、交易哈希均未同步，暂不可考。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：系统标注“余额很小(≤阈值)”为**否**，即当前 0.32711932 BTC 的余额**未被**视为可忽略的小额。请注意，这个标注只说明“余额大小是否值得处理”，**与密码是否破解完全无关**。
- **密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得任何明文密码、助记词或私钥**。所有关于“已拿到密码”的说法均属不实。
- **结论**：钱包处于“有余额、未解锁”状态，破解工作仍在进行中，但无成功证据。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充 2026-01-23 那笔转入的完整交易记录**（哈希、金额、对手方地址）——这是最近一次活跃，可能是找回密码的关键线索。
2. **获取该地址的历史交易对手方列表**，分析是否存在与钱包文件名 `MEGA-BONUS` 相关的业务关联。
3. **核查钱包文件来源目录** `fake.czb.com/BTC/review/` 的上下文，确认该文件是来自旧备份、用户提交还是第三方转储。
4. **检查钱包文件内部元数据**（如 `mtime`、创建时间戳）是否与 2014 年交易时间吻合，以验证文件完整性。
5. **寻找同批次钱包文件**（如 `wallet_0,298`、`wallet_0,300`），看是否存在相同密码规律或共享地址簿。
6. **调取 2014 年 5 月 15 日转出交易的找零地址**，判断是否与当前主地址存在血缘关系。
7. **确认 24 笔转入中是否有来自交易所或已知服务商的地址**，这有助于推断钱包持有者身份。
8. **补充该钱包在录入前的“来源说明”或“案件备注”字段**——若存在人工备注，往往比链上数据更有价值。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已对现有候选材料进行过一轮验证，结果均为否，未命中任何明文密码。**不建议**在无新线索的情况下重复同一批候选词。
- **余额阈值判断**：已确认余额 0.32711932 BTC 不属于“小额忽略”范畴，无需再纠结该标注。
- **交易活跃度分析**：已确认近 30 天无动静，且最后转出停留在 2014 年——**无需**再对近期转出做重复排查。
- **文件格式确认**：已确认为 `bitcoin_legacy_bdb`，排除了 SegWit 或 Descriptor 钱包的干扰，后续无需在格式上反复确认。
- **下一步应转向**：链上对手方分析、文件来源追溯、同批次文件比对，而非继续在密码猜测上原地打转。