DOGE 钱包风险检测与恢复评估 #1524

### 1. 一句话结论
该DOGE钱包（ID: 1524）当前链上余额约47.14万DOGE，但**尚未获得明文密码**，且业务层面**未标记为“余额很小”**；目前处于“资产确认存在、密码未突破”的阶段。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1524，主地址 `DNgjKwXEbdhShoX6SByAmB6Bo4eL8R9nJs`，币种 DOGE。
- **资产规模**：余额 `471436.31365516 DOGE`，业务标注“余额很小=否”，即该余额**不属于小额忽略范畴**。
- **文件信息**：钱包文件名 `WALLET DOGECOIN 471,436.dat`，格式 `bitcoin_legacy_bdb`，大小 `90112 字节`，路径指向 `fake.czb.com/DOGE/unknown/MEGA-BONUS_...` 目录。
- **时间线**：录入时间 `2026-06-23`，最后更新 `2026-08-06`；链上交易跨度 `3261 天`。
- **交易统计**（依据 `wallet_transactions.direction`）：转出 `1` 笔，转入 `14` 笔；最后转出 `2014-01-12`，最后转入 `2022-11-26`；近30天转入/转出均为 `0`。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有强证据表明已拿到明文密码**。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
我们在6月23日首次录入这个钱包，当时就注意到它的文件名直接标注了“471,436”，与链上余额高度吻合——这让我们判断它大概率是一个**有真实资产对应的历史钱包**，而不是空壳文件。

随后我们核对了链上交易摘要：转入14笔、转出仅1笔，且最后转出停留在2014年，说明这个地址在早期有过一次支出后，**长期处于只进不出的状态**，直到2022年还有一笔转入。这种“沉睡后仍有入账”的模式，通常意味着原主人可能遗忘了它，或者它属于某批批量生成的钱包。

我们检查了钱包文件本身：格式是 `bitcoin_legacy_bdb`，大小约90KB，属于老式Berkeley DB结构。我们尝试了常规的合规解锁流程（非暴力攻击），但截至目前，**没有任何字段能证明密码已被还原**。业务侧也确认该余额“不小”，因此不能按“零钱钱包”直接结案。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 `14` 笔，最后一笔发生在 `2022-11-26`。近30天转入 `0` 笔。
- **转出（send）**：共 `1` 笔，发生在 `2014-01-12`。近30天转出 `0` 笔。
- **解读**：该地址在2014年转出过一次后，**再未发生任何转出**；转入活动持续到2022年，之后完全静默。当前余额与最后一笔转入后的累计值是否一致，**需要补充链上UTXO明细才能确认**（现有数据未提供逐笔金额）。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：`余额很小=否`，即业务系统**不认为**这是可忽略的小额钱包，资产规模具有实际意义。
- **明文密码状态**：`cracked_password/actual_password=否`，即**尚未获得明文密码**。目前没有任何证据表明解锁成功，所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **获取该地址的完整UTXO列表及每笔转入金额**，核对余额是否与链上累计一致（现有数据只有笔数，无金额）。
2. **调取2014年那笔转出的目标地址**，判断是否属于同一控制人（用于关联其他钱包）。
3. **补充钱包文件的创建时间/修改时间元数据**，辅助判断生成批次。
4. **查找同目录下 `MEGA-BONUS` 系列是否有兄弟钱包文件**，可能共享同一套密码规则。
5. **提供该钱包录入时的来源说明**（如：来自哪个设备/哪个案件/哪个备份包）。
6. **检查2022年最后一笔转入的对手方地址**，看是否来自交易所或已知服务商。
7. **补充钱包文件头部字节的哈希值**，便于与已知样本库比对（仅取证比对，不涉及破解）。
8. **确认业务侧“余额很小”的判定阈值**，明确为何该余额未被标记为小额。

### 7. 已尝试方向回顾（避免重复投入）
- **常规解锁流程**：已按标准合规流程尝试打开钱包，未成功，且无任何字段显示密码命中。
- **业务标注排查**：已确认该钱包不属于“余额很小”的自动忽略类别，排除误判。
- **交易活跃度分析**：已确认近30天无任何转入/转出，排除“近期活跃”可能。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，排除了现代格式的误判。
- **未尝试方向**：尚未进行链上UTXO金额级核对，也未关联同一批次的兄弟钱包文件——这两项是当前最大的数据缺口。