DOGE 钱包风险检测与恢复评估 #1873

### 1. 一句话结论
这是一枚持有约 245 万 DOGE（按录入时价格折合约 18.3 万美元）的 Legacy 格式钱包，链上历史显示“只进不出”，但我们目前**尚未获得明文密码**，也**没有证据表明余额已被转走**。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1873，主地址 `DAFB4ttW6PPDspdNT498xzz7y83DKqr3NL`，币种 DOGE。
- **资产规模**：余额 `2454322.46025630 DOGE`，业务标注“余额很小”为**否**，即这是一枚高价值钱包。
- **文件信息**：`wallet.dat`，格式 `bitcoin_legacy_bdb`，大小 151,552 字节，路径指向 `fake.czb.com/DOGE/review/MEGA-BONUS_Wallet...`（疑似测试/复盘环境）。
- **时间线**：录入 2026-06-23，更新 2026-08-06；链上交易跨度 2683 天。
- **交易统计**：转入 50 笔，转出 0 笔；最后转入 2026-04-30 14:42:01；近 30 天转入/转出均为 0。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即没有强证据表明已拿到明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们从一份 151 KB 的 `wallet.dat` 入手。首先确认了它的格式是 `bitcoin_legacy_bdb`——这是早期比特币系钱包常用的数据库结构，意味着它的密钥派生和加密方式有固定的历史特征。我们核对了文件路径与命名，发现它被放在一个名为“MEGA-BONUS”的复盘目录下，推测是某次批量导入或测试任务中的一枚高价值样本。

接着我们拉取了链上数据，发现这枚地址在过去 7 年多里只发生过 50 笔转入，从未转出。这强烈暗示它是一个“蓄水型”地址——只进不出，可能是历史挖矿收益、早期囤币或某次活动归集。余额数字与文件名中的“2454322 DOGE”完全吻合，进一步确认了文件与链上地址的对应关系。

在尝试访问钱包内容时，我们遇到了加密锁。我们检查了所有已知的旁路信息（如文件名、路径、时间戳），但没有发现任何记录密码的备注或元数据。当前状态是：**我们确认了这是一枚有价值的 Legacy 钱包，但尚未突破加密层**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 50 笔，最后一笔发生在 2026-04-30。近 30 天无新增转入。
- **转出（send）**：**0 笔**。没有任何转出记录，因此**不存在“余额已被转走”的链上证据**。
- **近 30 天活动**：转入 0，转出 0，即近期完全静默。
- **最后转出时间**：未知（因为转出笔数为 0，无对应时间字段）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：余额为 `2454322.46 DOGE`，业务标注“余额很小”为**否**，即这是一枚**高价值、非空**钱包。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**。我们没有任何强证据表明密码已被验证成功。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找密码线索文件**：在 `fake.czb.com` 同目录下查找是否有 `.txt`、`.md`、`.csv` 等备注文件，可能记录密码或助记词提示。
2. **检查钱包创建时间**：通过文件元数据（如 `ctime`）或首笔交易时间，推测创建年代，缩小密码设置习惯范围。
3. **核对历史导入批次**：确认该钱包是否来自某个批量生成工具（如“MEGA-BONUS”活动），查找该工具是否使用默认密码或固定规则。
4. **调取同批次钱包样本**：如果存在同目录其他 `wallet.dat`，对比它们的文件大小与结构，判断是否共用同一密码体系。
5. **补充链上转入来源分析**：拉取 50 笔转入的对手地址，看是否来自已知交易所或矿池，这些来源可能附带备注信息。
6. **检查钱包内地址索引**：在 `wallet.dat` 中提取非加密的地址索引（如 `keypool`），确认是否只有主地址一个账户。
7. **寻找备份文件**：搜索 `wallet.dat.bak`、`wallet.db` 或云盘同步副本，旧备份可能未加密或使用旧密码。
8. **确认数据环境性质**：路径含 `fake.czb.com` 与 `review`，需确认这是真实资产还是测试数据，避免在非生产环境上过度投入。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **链上余额核对**：已确认链上余额与文件内标注一致，排除“文件与地址不匹配”的问题。
- **基础密码猜测**：已尝试常见弱密码与文件名相关组合（如 `MEGA-BONUS`、`2454322` 等），未成功，不建议再投入时间在纯字典猜测上。
- **元数据检查**：已检查文件名、路径、时间戳，未发现密码提示，无需重复扫描这些字段。