DOGE 钱包风险检测与恢复评估 #1880

### 1. 一句话结论
这是一枚 DOGE 钱包（ID 1880）的取证复盘：目前我们**尚未获得明文密码**，链上交易记录**未同步**，且业务标注显示**余额不为零**，因此当前核心任务是先补齐链上数据与密码验证状态，再判断下一步处置方向。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1880，币种 DOGE，主地址 `D5i5u4uZLEpkzJZpvgLQx32AJgEjh8h8YU`。
- **文件信息**：钱包文件名为 `Dogecoin / wallet5.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/MEGA-BONUS_Dogecoin_wallet5.dat-9a595ba989d3/wallet5.dat`，文件大小 **90112 字节**。
- **格式版本**：`bitcoin_legacy_bdb`（Bitcoin 系旧版 Berkeley DB 格式，DOGE 沿用了该结构）。
- **时间线**：录入时间 `2026-06-23 00:58:26`，最近更新 `2026-08-06 06:50:01`，数据标注日期与录入时间相同。
- **密码状态**：字段 `cracked_password/actual_password` 为**否**，即目前**没有已验证的明文密码**。
- **余额状态**：业务标注 `余额很小(≤阈值)` 为**否**，即**余额不为零**（但具体数值未提供）。
- **链上交易**：**未发现已同步的交易记录**，页面提示需手动点击“同步交易”才能获取更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从 6 月 23 日拿到这份 `wallet5.dat` 开始建档。文件大小约 90KB，属于典型的旧版 BDB 钱包结构，里面通常包含地址、密钥材料以及加密后的私钥数据。我们首先确认了它的格式与版本，并登记了主地址。

随后我们检查了密码验证状态——目前字段显示“已知密码存在=否”，说明我们**还没有拿到任何可用的明文密码**，也没有完成一次成功的解锁验证。与此同时，我们查看了业务标注，发现该钱包**余额不为零**，这意味着它不是一个“空壳钱包”，值得继续跟进。

但在尝试进一步分析前，我们发现一个关键缺口：**链上交易记录尚未同步**。没有同步数据，我们就无法判断这个地址历史上是否发生过转入/转出，也无法确认“最后活动时间”。所以目前我们停留在“文件已建档、密码未破、链上未同步”的阶段，下一步必须先补齐同步数据。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。当前未同步任何交易记录，无法确认该地址是否收到过 DOGE。
- **转出记录**：未知。同样因未同步，无法确认是否有过转出行为，也无法提供“最后转出时间”。
- **说明**：所有交易方向均需等待“同步交易”操作完成后，依据 `direction=receive/send` 字段才能给出明确结论；在此之前，任何关于转入/转出的描述都属于推测，故一律标注为“未知”。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **余额业务标注**：当前标注为“余额很小(≤阈值)=否”，即**余额不为零**。注意：这只是一个业务侧阈值判断，不代表具体金额，也不代表钱包可被直接使用。
- **明文密码状态**：字段 `cracked_password/actual_password=否`，即**尚未获得明文密码**。我们目前没有完成任何一次密码验证成功，也没有可用的密码材料。请勿将“余额不为零”误解为“已解锁”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **立即在页面点击“同步交易”**，拉取该地址的完整链上记录，确认转入/转出方向与时间。
2. **补充余额具体数值**（如 UTXO 列表或节点查询结果），以便判断是否值得继续投入资源。
3. **提供钱包创建时间或首次使用时间**的线索（如文件元数据、备份记录），辅助缩小密码猜测范围。
4. **确认该钱包是否曾与其他地址有过关联交易**（若有同步数据后，可分析交易对手方）。
5. **检查是否有旧备份或历史版本**的 `wallet5.dat`，有时旧文件密码策略不同。
6. **核实业务来源**：该钱包来自 `fake.czb.com` 路径下的 `review/MEGA-BONUS` 目录，建议补充该目录的业务背景（如活动钱包、测试钱包）。
7. **确认是否存在密码提示文件**（如 `wallet.txt`、`pass.txt` 等相邻文件），但注意不要直接读取明文密码，只需确认是否存在此类文件。
8. **评估是否允许使用合规的密码恢复服务**（需符合内部安全流程，且不涉及暴力破解细节）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复判断文件类型。
- **密码验证状态**：已确认当前无已知密码，**不要重复尝试“默认密码”或“空密码”**，除非有新的线索支持。
- **链上同步**：尚未执行，这是当前最大缺口，**不要跳过同步直接做交易分析**。
- **余额判断**：已确认余额不为零，但未获取具体值，**不要假设“余额很小”而放弃跟进**。
- **文件完整性**：文件大小 90112 字节，已登记在案，若后续发现文件被篡改或截断，需重新校验哈希，但当前无此迹象。