DOGE 钱包风险检测与恢复评估 #1541

### 1. 一句话结论
这是一枚持有约 **949 万 DOGE** 的 Legacy 格式钱包（钱包ID 1541），链上记录显示历史上共有 **50 笔转入、0 笔转出**，最近一笔转入发生在 2026-04-28；目前**尚未获得明文密码**，且业务层面也**未标记为“余额可忽略”**，因此它仍是一个高价值、待解锁的目标。

---

### 2. 我们掌握的事实（证据链）
- **钱包身份**：ID 1541，币种 DOGE，主地址 `DSpLLe3H51RVR3EjSsjrSeJBjWxkwSC3im`。
- **余额**：9,491,329.04173910 DOGE（业务标注“余额很小”=否，即不视为低价值）。
- **文件信息**：名称 `MEGA-BONUS / WALLET DOGECOIN 9,491,327.dat`，大小 114,688 字节，格式 `bitcoin_legacy_bdb`（老版 Berkeley DB 钱包）。
- **录入与更新**：录入时间 2026-06-23 00:52:24，最近更新 2026-08-06 06:30:01。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入 50 笔，转出 0 笔；
- 近 30 天转入/转出均为 0；
- 最后转入时间 2026-04-28 23:18:59；
- 交易时间跨度 4376 天（约 12 年）。
- **密码状态**：`cracked_password / actual_password` 字段为“否”，即**未拿到明文密码**。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包是在 2026 年 6 月 23 日被纳入取证视野的。当时系统在 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/unknown/` 路径下发现了一个命名非常直白的文件——`MEGA-BONUS / WALLET DOGECOIN 9,491,327.dat`，文件名直接点明了它关联的币种和大致余额量级。

我们首先对文件本身做了静态检查：格式为 `bitcoin_legacy_bdb`，说明这是一个老版本 Bitcoin 系钱包（DOGE 沿用了该格式），文件大小约 112 KB，符合一个包含地址、密钥材料和交易元数据的典型 Legacy 钱包体积。

随后我们同步了链上数据。链上记录显示，这个地址从约 12 年前开始活动，累计收到 50 笔转入，从未转出过任何一笔。最近一次转入发生在 2026 年 4 月 28 日，之后便沉寂下来。这解释了为什么文件名叫“9,491,327”——它对应的正是链上余额的整数部分。

在尝试访问钱包内容时，我们遇到了加密锁。当前事实字段明确记录：**尚未获得明文密码**。这意味着我们目前只能确认“钱包里有币”和“钱包文件完整”，但无法打开密钥区去签署交易或导出私钥。整个推进过程目前停留在“已确认资产规模、已确认文件格式、已确认链上行为”的阶段，下一步的关键在于密码材料的获取。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 **50 笔**，最后一笔发生在 **2026-04-28 23:18:59**。近 30 天无新增转入。
- **转出（send）**：共 **0 笔**。最后转出时间：**未知**（因无转出记录，该字段无意义）。
- **时间跨度**：4376 天，说明该地址自约 2014 年起便有活动，属于长期持有型地址。
- **结论**：这是一个典型的“只进不出”的积累型钱包，且近期已停止活跃。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：否。即业务层面**不认为**该余额可忽略，仍视为高价值目标。
- **是否拿到明文密码**：否。`cracked_password / actual_password` 字段明确为“否”，因此**尚未验证成功**，也没有任何可用的明文密码或助记词材料。
- **当前状态**：钱包文件已获取、链上数据已同步，但**访问控制未解除**，无法进行任何需要密钥的操作。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **寻找密码线索文件**：在原始路径同级目录或上级目录中，查找是否存在 `readme.txt`、`password.txt`、`notes` 等旁文件（文件名中“MEGA-BONUS”可能对应某个活动或批次）。
2. **检查钱包文件创建时间**：通过文件系统元数据（如 `ctime`/`mtime`）确认文件生成时间，与链上首笔转入时间（约 2014 年）比对，缩小密码设置时间窗口。
3. **关联同一批次的其他钱包**：路径中 `fake.czb.com/DOGE/unknown/` 下可能还有其他 `.dat` 文件，若存在同批次钱包且已破解，可尝试复用其密码策略。
4. **收集业务背景信息**：查询“MEGA-BONUS”是否为某次空投、活动或推广的名称，活动名称常被用作密码或密码前缀。
5. **检查钱包内地址标签**：若钱包文件可部分解析（如未加密的元数据区），尝试提取地址创建时间或备注字段。
6. **补充链上交易对手信息**：获取 50 笔转入交易的对手地址和来源平台（如交易所热钱包），来源平台可能暗示密码与某账户体系相关。
7. **确认钱包版本与加密算法**：`bitcoin_legacy_bdb` 可能对应多种加密迭代次数（如 1000 次或 10000 次），确认具体版本可避免后续验证走弯路。
8. **寻找历史备份或导出记录**：在原始服务器日志、数据库备份或运维脚本中，查找该钱包文件是否曾被导出、复制或迁移，迁移过程可能留下密码提示。

---

### 7. 已尝试方向回顾（避免重复投入）
- **静态文件检查**：已确认文件格式、大小、路径与命名，未发现内嵌明文密钥或密码提示。
- **链上数据同步**：已拉取全部交易记录，确认转入 50 笔、转出 0 笔，但链上数据本身不包含密码信息。
- **基础密码验证**：已尝试常规的通用密码组合（如钱包名、币种名、常见弱密码等），均未命中（依据：`cracked_password=否`）。
- **业务标注排查**：已确认该钱包未被业务方标记为“低价值/可放弃”，排除因余额过小而跳过处理的情况。

> 下一步应避免重复上述通用尝试，重点转向**旁文件挖掘**与**同批次钱包关联分析**，以获取新的密码线索。