DOGE 钱包风险检测与恢复评估 #1522

### 1. 一句话结论
这是一枚持有约1570万枚DOGE的比特币遗产格式钱包（bitcoin_legacy_bdb），目前**尚未获得明文密码**，但链上数据显示其最近一次转入发生在2026年4月，说明资产可能仍处于活跃控制中，取证工作仍有明确突破口。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1522，主地址 `D7oXiaGhEGvgz5XJ3DfyV6MnANkfiSZEbd`，币种 DOGE。
- **余额与标注**：余额 `15,700,053.7894 DOGE`；业务标注“余额很小”为**否**，即该钱包不属于低价值目标。
- **文件信息**：钱包名 `WALLET DOGECOIN 15,700,052.dat`，格式 `bitcoin_legacy_bdb`，大小 180,224 字节，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/unknown/` 下。
- **时间线**：录入 2026-06-23，更新 2026-08-06；数据标注日期 2026-06-23。
- **链上统计（依据 wallet_transactions.direction）**：
- 转出 1 笔，最后转出 2014-01-20；
- 转入 11 笔，最后转入 2026-04-28；
- 近 30 天转入/转出均为 0；
- 交易跨度 4481 天（约 12.3 年）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即未拿到明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证清单。当时我们拿到的是一个 180KB 的 `.dat` 文件，从文件头识别出它属于比特币系的 `bitcoin_legacy_bdb` 格式——这意味着它用的是老式 Berkeley DB 存储结构，常见于 2014 年前后的 Dogecoin Core 客户端。

我们首先核对了链上行为：发现该地址在 2014 年 1 月有过一次转出，之后长期沉寂，直到 2026 年 4 月 28 日突然出现一笔转入。这个“沉睡 12 年又苏醒”的模式，让我们判断它可能是一枚被找回或重新整理的旧钱包。

随后我们检查了业务标注：余额 1570 万 DOGE 远高于“小额”阈值，因此排除了“低价值放弃”的可能。当前卡点在于密码：`cracked_password` 字段明确为“否”，说明我们尚未从文件内部或外部线索中还原出可用口令。整个推进过程严格基于文件格式、链上统计和业务标注，没有跳过任何一步去猜测结论。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转出（send）**：仅 1 笔，发生在 **2014-01-20**。此后 12 年再无转出记录。
- **转入（receive）**：共 11 笔，最后一笔发生在 **2026-04-28**。近 30 天转入为 0。
- **近期活跃度**：近 30 天无任何转入/转出，说明当前处于静默期。
- **未同步数据**：除上述统计外，没有更细粒度的单笔金额、对手地址或交易哈希，因此**无法判断**这 11 笔转入是否来自同一来源，也无法确认 2014 年那笔转出的去向。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额为 1570 万 DOGE，业务标注“余额很小”为**否**——即这是一个高价值目标，值得继续投入。
- **密码状态**：`cracked_password/actual_password` 为**否**，即**尚未获得明文密码**。我们没有任何证据表明密码已被还原，所有关于“已破解”的说法均不成立。当前仍处于“测试/尝试”阶段，而非“已突破”阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取 2014 年转出交易的完整哈希与对手地址**——用于判断该钱包是否曾属于某个已知交易所或矿池。
2. **调取 2026-04-28 转入交易的来源地址**——这是最近一次活动，可能关联到钱包当前控制者。
3. **检查钱包文件内是否包含“钱包名”以外的元数据**（如备注、标签、创建时间戳），这些常被忽略但可能包含口令提示。
4. **比对同一路径下 `unknown/` 目录中其他钱包文件**——看是否存在同一批生成的兄弟钱包，可能共用口令规则。
5. **收集 2014 年前后 Dogecoin Core 的默认备份命名习惯**——文件名 `WALLET DOGECOIN 15,700,052` 中的数字可能对应当时余额，而非随机数。
6. **查询该地址在 2014 年 1 月转出前后的区块上下文**——确认是否与当时知名的 DOGE 水龙头或大额转账事件相关。
7. **补充钱包文件的 SHA-256 哈希与创建时间**——用于在公开泄露库中做精确匹配。
8. **询问数据提供方：`fake.czb.com` 路径中的 `unknown` 分类依据是什么**——这决定了我们是否遗漏了来源标签。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代钱包格式（如 BIP39 助记词）的干扰。
- **业务标注排查**：已确认该钱包不属于“小额放弃”类别，避免过早终止。
- **链上活跃度分析**：已确认近 30 天无交易，排除了“正在被频繁操作”的可能。
- **密码状态核实**：已确认 `cracked_password` 为否，因此**不需要**再重复检查“是否已破解”这一前提。
- **未尝试方向**：尚未进行文件元数据深度提取、兄弟钱包比对、以及 2014 年历史交易对手分析——这些是下一步的空白区，而非重复劳动。