DOGE 钱包风险检测与恢复评估 #1879

### 1. 一句话结论
这是一份关于钱包ID 1879（DOGE）的阶段性复盘：目前**尚未获得明文密码**，链上交易记录**未同步**，且业务侧**未标注“余额很小”**，因此该钱包仍处于“待突破、待补充数据”的取证状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包ID 1879，币种 DOGE，主地址 `DDdm7Lm9vq8eibF8ahfwmr9TqcDAbpVqUU`。
- **文件信息**：钱包名称为 `Dogecoin / wallet.dat`，格式为 `bitcoin_legacy_bdb`，文件大小 966,656 字节。
- **来源路径**：`/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/MEGA-BONUS_Dogecoin_wallet.dat-9b892a4288d6/wallet.dat`（路径含 `review` 与 `MEGA-BONUS` 字样，推测为批量审查样本）。
- **时间线**：录入时间 2026-06-23 00:58:26，最后更新 2026-08-06 06:50:31，数据标注日期与录入时间一致。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**无强证据表明已拿到明文密码**。
- **余额标注**：业务字段“余额很小(≤阈值)”为“否”，即**未被标记为低价值钱包**。
- **链上数据**：未发现已同步的交易记录，转入/转出方向均无统计字段支撑。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日，钱包文件被录入系统，当时我们拿到的是一个约 944 KB 的 legacy BDB 格式 wallet.dat，来源路径带有“MEGA-BONUS”与“review”标记，说明它大概率来自某批待审的 DOGE 钱包样本。我们首先确认了文件格式与主地址，并核对了录入时间与标注日期——两者一致，说明这是一次“新鲜录入”，而非历史补录。

随后我们尝试读取钱包结构，确认其属于 `bitcoin_legacy_bdb` 类型，这意味着它的密钥存储方式与早期 Bitcoin 系钱包兼容。但关键字段 `cracked_password` 始终为“否”，说明我们尚未从该文件中提取出可用的明文密码或助记词。同时，业务侧没有给出“余额很小”的标注，这反而提示我们：**该钱包可能仍有价值，值得继续投入**。

到了8月6日，系统做了一次更新，但更新内容并未改变密码状态。我们尝试同步链上交易，但页面显示“未发现已同步的交易记录”——这意味着我们目前**无法从链上确认该地址是否活跃、最后转出时间是什么时候**。整个推进过程，我们始终停留在“文件已解析、密码未破、链上未同步”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易摘要显示“未发现已同步的交易记录”，因此没有任何 `direction=receive` 的统计字段可供解读。
- **转出记录**：未知。同样，没有 `direction=send` 的统计字段，无法确认是否存在历史转出行为。
- **结论**：当前所有关于“转入/转出”的讨论都缺乏数据支撑。若需精确的“最后转出时间”或“历史交易对手方”，必须先完成链上交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注**：字段“余额很小(≤阈值)”为“否”，说明业务侧**并未**将该钱包判定为“低价值/可放弃”类型。这与“余额为0”是两回事——前者是业务策略标注，后者是链上实际余额，而链上余额我们目前尚未同步确认。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**我们尚未获得明文密码、助记词或私钥**。任何关于“已破解”的说法均不成立。
- **重要区分**：即使未来链上同步显示余额为0，也不代表密码已拿到；反之，即使密码未破，也不代表钱包无价值。当前状态是：**密码未破 + 链上未同步 + 业务未放弃**。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的历史转入/转出记录，确认钱包是否仍在使用、最后活跃时间。
2. **补充钱包来源上下文**：路径中的 `MEGA-BONUS` 与 `review` 暗示这是某批审查样本，请提供该批次的来源说明（如：来自哪个案件、哪个平台、哪次批量导入）。
3. **提供钱包创建时间线索**：若知道该 wallet.dat 的生成时间或首次使用时间，可帮助判断密钥派生规则。
4. **检查同批次钱包**：若同一目录下存在其他 DOGE 钱包文件，可对比其文件大小、格式、密码状态，寻找共性规律。
5. **补充业务侧价值判断**：既然未标注“余额很小”，请提供该钱包的预估价值依据（如：来自哪个地址的转入、关联交易金额等）。
6. **确认文件完整性**：核对 966,656 字节的文件是否完整，是否存在截断或附加数据（如多地址扩展）。
7. **收集用户侧线索**：若该钱包来自某用户提交，请补充用户提供的任何密码提示、常用密码习惯（仅作线索，不用于攻击）。
8. **检查钱包内地址数量**：通过合规工具统计该 wallet.dat 中包含的地址数量，判断是单地址钱包还是多地址钱包。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式解析**：已确认是 `bitcoin_legacy_bdb`，并读取了主地址与文件大小，此方向已完成，无需重复。
- **密码状态核查**：已确认 `cracked_password` 为“否”，说明常规的密码提取流程未成功，**不建议在无新线索时重复跑相同流程**。
- **链上同步尝试**：已尝试同步交易，但结果为“未发现已同步记录”，说明同步动作已执行但无数据返回，**下一步应检查同步失败原因（如节点连接、地址格式）**，而非盲目重试。
- **业务标注核对**：已确认“余额很小”为“否”，此字段已读取，无需再次核对。
- **时间线梳理**：已确认录入与标注日期一致，更新时间晚于录入时间，说明系统有过一次更新，但更新内容未改变密码状态——**无需再对时间线做重复推断**。