DOGE 钱包风险检测与恢复评估 #1335

### 1. 一句话结论
钱包 1335（DOGE）目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出与最后活动时间均无法确认；当前唯一强证据是钱包文件本身（bitcoin_legacy_bdb 格式，约 3.7MB），余额是否为空也尚无业务标注支持。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1335，币种 DOGE，主地址 `1PFChALVJt32pwgSC9qKa6Fiw1YkkZNH9u`。
- **文件信息**：钱包名称为 `DOGE +LTE+VACIA / vacia 1PFChALVJt32pwgSC9qKa6Fiw1YkkZNH9u.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/...`，文件大小 3,702,784 字节。
- **格式**：`bitcoin_legacy_bdb`（旧版 Berkeley DB 格式，常见于早期 Bitcoin 系钱包，DOGE 沿用）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **余额标注**：业务字段“余额很小(≤阈值)”为“否”，即**没有“余额为0/极小”的业务标注**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，意味着当前数据库内无任何已确认的转入/转出流水。
- **时间线**：录入 2026-06-23 00:43:57，数据标注 2026-06-23 00:58:27，最近更新 2026-08-05 22:10:49（约 43 天后有更新，但内容未涉及密码或交易）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，钱包 1335 被录入系统，当时我们拿到的是一个约 3.7MB 的 `.dat` 文件，格式识别为 `bitcoin_legacy_bdb`——这是 DOGE 早期常用的钱包容器。文件命名里带有“MEGA-BONUS”和“vacia”字样，推测可能来自某个批量导入的 review 数据集。

录入后半小时内，系统完成了基础标注（数据标注日期 6 月 23 日 00:58），但当时并未同步任何链上交易。我们尝试从文件本身读取地址与密钥结构，确认主地址为 `1PFChALVJt32pwgSC9qKa6Fiw1YkkZNH9u`，但密码字段始终为空——没有任何“已知密码”的强证据。

7 月到 8 月期间，该钱包记录在 8 月 5 日有一次“更新时间”变动，但更新内容并未带来密码或交易数据的变化。也就是说，我们目前停留在“有文件、有地址、无密码、无交易流水”的阶段。整个过程没有发生任何“破解成功”事件，也没有余额为 0 的业务结论。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此无法确认任何 `direction=receive` 的转入。
- **转出记录**：未知。同样没有 `direction=send` 的转出流水。
- **最后活动时间**：无法确认。没有同步数据，不能推断最后转出或转入时间。
- **补充说明**：若需精确交易方向与时间，必须先执行“同步交易”操作，将链上数据拉取到本地后再统计。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：当前字段显示“余额很小(≤阈值)=否”，即系统**没有**将余额标记为“极小或为零”。但这并不等于“余额很大”，只是说明该业务阈值未被触发。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得任何明文密码、助记词或私钥**。所有涉及“已拿到密码”的说法均不成立，目前仍处于“未破解”状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **执行链上交易同步**：优先拉取该地址在 DOGE 链上的全部交易，确认是否存在转入/转出及最后活动时间。
2. **核对钱包来源上下文**：文件名含“MEGA-BONUS”与“vacia”，建议回溯该 `.dat` 文件来自哪个批次、哪个平台导出，可能附带密码提示或备注。
3. **检查同批次钱包**：若该文件来自批量导入，查看同目录下其他钱包是否已有成功破解案例，可复用其密码规律（仅作线索，不涉及攻击细节）。
4. **确认余额业务标注口径**：向业务方核实“余额很小(≤阈值)=否”的具体阈值定义，避免误判资金规模。
5. **检查文件完整性**：确认 3.7MB 文件是否包含多个地址或仅单一地址，可能影响后续取证范围。
6. **调取录入时备注**：查看 2026-06-23 录入时是否附带任何人工备注或标签（如“测试钱包”“遗留资产”）。
7. **对比更新时间变化**：8 月 5 日的更新具体改动了哪些字段，是否有人工操作痕迹。
8. **补充钱包版本信息**：确认 `bitcoin_legacy_bdb` 的具体子版本，以便评估后续合规取证路径。

### 7. 已尝试方向回顾（避免重复投入）
- **基础文件识别**：已完成，确认格式为 `bitcoin_legacy_bdb`，大小与路径均已记录。
- **密码强证据检查**：已确认无 `cracked_password/actual_password` 字段，即没有现成密码可用，无需重复查找该字段。
- **链上交易同步**：尚未执行（摘要显示未同步），因此**不要**假设“已查过交易”，下一步应优先补做。
- **余额业务标注**：已读取但未触发阈值，无需重复查询该字段，但需向业务方确认阈值口径。
- **未做**：未进行任何密码猜测或字典尝试（且当前无证据支持该方向有效），也未对文件进行破坏性修改。