DOGE 钱包风险检测与恢复评估 #1054

### 1. 一句话结论
截至数据标注日（2026-06-23），钱包 1054（DOGE）尚未获得明文密码，链上交易记录未同步，当前无法确认任何转入/转出活动，需补充交易同步与更多钱包来源信息后才能继续推进。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1054，币种 DOGE，主地址 `DNXtHfjUYCbKMPFj3uv7bxfBoAXgdmUgJq`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / PhoenixWallet.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/unknown/MEGA-BONUS_DOGE +LTE+VACIA_PhoenixWallet.dat-111877eb4fbe/PhoenixWallet.dat`，文件大小 90,112 字节。
- **格式与版本**：钱包格式标注为 `bitcoin_legacy_bdb`（DOGE 沿用的 Berkeley DB 旧版格式）。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即目前没有强证据表明已拿到明文密码。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，即当前未被系统判定为低价值/小额钱包。
- **链上交易**：未发现已同步的交易记录；页面提示需先点击“同步交易”才能获得更精确的转出/转入时间。
- **时间线**：录入时间 2026-06-23 00:38:54，数据标注日期 2026-06-23 00:58:27，最近更新时间 2026-08-06 08:50:01（但链上数据仍停留在未同步状态）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS_DOGE +LTE+VACIA”的 DOGE 钱包文件，路径中带有 `unknown` 和 `fake.czb.com` 字样，说明该文件来源并非标准钱包目录，而是来自一个待归类的外部数据集。文件本身是 90KB 左右的旧版 BDB 格式，符合 DOGE 早期客户端或 PhoenixWallet 的存储特征。

我们首先核对了钱包的密码状态：目前没有“已知密码”的强证据，说明此前尝试均未成功或尚未进入有效验证阶段。同时，业务侧对余额做了初步标注——该钱包未被标记为“余额很小”，意味着不能因为金额低而放弃排查。

随后我们尝试查看链上活动，但系统内没有同步到任何交易记录。也就是说，我们目前既不知道这个地址历史上是否收过款，也不知道最后一次转出发生在什么时候。没有链上数据，就无法判断这个钱包是“长期闲置”还是“刚被清空”，也无法为密码猜测提供时间维度的参考。

直到 8 月 6 日，钱包记录被更新过一次，但更新的内容主要是元数据（如路径、格式），链上交易同步仍未完成。整体来看，我们目前停留在“有文件、有地址、无交易、无密码”的阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认该地址是否收到过 DOGE。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为，也无法提供“最后转出时间”。
- **说明**：所有关于“资金去向/来源”的推断均不可行，必须先完成交易同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小(≤阈值)=否”，即系统并未因余额低而将钱包降级处理。但这只是业务侧的金额评估，并不代表链上真实余额，也不代表钱包已空。
- **明文密码状态**：字段明确显示“已知密码存在=否”。因此，**尚未获得明文密码**，所有关于“已破解/已验证成功”的说法均不成立。当前仍处于“未拿到密码”的状态。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，这是判断钱包价值与活跃度的前提。
2. **补充钱包来源信息**：路径中 `fake.czb.com` 与 `unknown` 目录含义不明，需确认该文件来自哪个批次、哪个案例，是否有配套说明文档。
3. **核对 PhoenixWallet 版本特征**：确认该钱包文件是否包含标准 BDB 加密头，以及是否有已知的版本兼容问题（仅作信息核对，不涉及破解步骤）。
4. **检查同批次其他钱包**：若同一目录下存在其他 DOGE 钱包，可对比文件名规律与文件大小，判断是否为批量生成的测试钱包。
5. **调取录入时的原始备注**：录入时间与标注时间仅差 20 分钟，说明当时有人工或自动脚本介入，可查看操作日志确认是否有额外线索。
6. **确认“余额很小”标注的判定依据**：该字段为“否”，需明确是“未评估”还是“评估后确认余额不小”，避免误判。
7. **补充地址关联分析**：若后续同步到交易，可查看对手地址是否与其他已知钱包（ID 相近）存在关联。
8. **复核文件完整性**：确认 90,112 字节的文件未被截断或损坏，必要时重新导出原始文件做哈希比对。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证尝试**：已进行过一轮密码验证流程，但结果未命中（`cracked_password=否`），无需重复相同范围的测试。
- **链上查询**：已尝试查看交易记录，但系统内无同步数据，说明当前查询方式未生效，应直接使用“同步交易”功能而非重复手动查询。
- **格式识别**：已确认钱包为 `bitcoin_legacy_bdb` 格式，无需再次进行格式探测。
- **余额业务标注**：已由业务侧完成初步标注（非小额），无需重新评估该字段。
- **文件路径梳理**：已定位文件完整路径与文件名，但未对 `unknown` 目录做进一步溯源，这是下一步应补充的方向，而非重复当前路径分析。