DOGE 钱包风险检测与恢复评估 #1057

### 1. 一句话结论

钱包 `17bqkPW21QhRUBcUQiy3C99ZC6L52Utu1b`（DOGE）目前处于**“已建档、未同步链上交易、未获得明文密码”**的早期取证阶段，余额是否为零尚无链上数据支撑，需优先补齐交易同步与密码线索。

### 2. 我们掌握的事实（证据链）

- **钱包标识**：钱包ID `1057`，币种 `DOGE`，主地址 `17bqkPW21QhRUBcUQiy3C99ZC6L52Utu1b`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / vacia 17bqkPW21QhRUBcUQiy3C99ZC6L52Utu1b.dat`，格式标注为 `bitcoin_legacy_bdb`（即老式 Berkeley DB 格式），文件大小 `73728` 字节。
- **时间线**：录入时间 `2026-06-23 00:38:56`，数据标注日期 `2026-06-23 00:58:27`，最近一次更新 `2026-08-06 08:51:01`——说明该档案在 6 月建立后，8 月初有过一次信息刷新。
- **密码状态**：字段 `cracked_password/actual_password` 明确为 **“否”**，即目前没有强证据表明已拿到明文密码或助记词。
- **余额标注**：业务标注“余额很小(≤阈值)”为 **“否”**，即系统并未将其判定为“小额钱包”，但这只是业务侧标记，并非链上实际余额。
- **链上交易**：**未发现已同步的交易记录**，页面提示需先手动点击“同步交易”才能获取转入/转出明细。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，我们收到并登记了这个 DOGE 钱包文件。从命名看，它带有“MEGA-BONUS”和“VACIA”等标签，推测来自某个批量导入的取证批次。当时我们完成了基础建档：记录了文件路径、大小、格式，并给主地址做了唯一性标识。

随后在 6 月 23 日当天，我们对数据做了标注，确认了“是否已知密码”这一关键字段——结论是**尚未拿到**。这意味着我们手里只有加密的钱包文件，没有可直接使用的口令。

时间来到 8 月 6 日，系统对该档案做了一次更新，但更新内容并未改变密码状态，也没有引入链上交易数据。目前整个档案停留在“静态信息完整、动态数据缺失”的阶段：我们清楚这个文件长什么样、放在哪里、是什么格式，但**不知道里面有多少币、何时动过**，也**没有口令验证成功的记录**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知。链上交易未同步，无法确认该地址是否收到过 DOGE。
- **转出记录**：未知。同样因未同步，无法确认任何转出行为或最后转出时间。
- **余额现状**：未知。业务标注“余额很小=否”仅代表系统未将其归为小额钱包，不等于链上余额非零。

> 结论：在点击“同步交易”之前，任何关于“币还在不在”“什么时候转走的”说法都属于推测，不纳入证据链。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注层面**：系统未将该钱包标记为“余额很小（≤阈值）”。但这只是一个内部筛选标记，**不代表链上余额为 0**，也不代表余额很大——它只说明该钱包不在“小额优先处理”的名单里。
- **密码获取层面**：`cracked_password/actual_password = 否`，即**尚未获得明文密码或助记词**，也没有任何验证成功的记录。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **优先执行链上交易同步**——这是当前最大缺口，直接决定能否判断余额与最后活动时间。
2. 补充该地址在 DOGE 区块链浏览器上的**当前余额截图或 API 返回**，用于交叉验证。
3. 查找钱包文件名中“MEGA-BONUS”“VACIA”等关键词对应的**来源批次说明**，确认是否属于已知活动或空投钱包。
4. 检索同一批次导入的其他钱包（同路径前缀），看是否有**已成功获取密码的相邻样本**，可佐证口令生成规律（仅作线索参考，不展开具体规则）。
5. 收集该钱包文件**创建时间与修改时间**的元数据，辅助判断使用周期。
6. 询问数据提供方：该 `.dat` 文件是否附带**任何密码提示、回收站笔记或历史工单记录**。
7. 若业务侧有“余额很小”的判定依据，请提供**判定时引用的区块高度或交易哈希**，以便复核。
8. 确认该钱包是否曾出现在**其他案件的证物清单**中，避免重复建档。

### 7. 已尝试方向回顾（避免重复投入）

- **基础建档与格式识别**：已完成，确认是 `bitcoin_legacy_bdb` 格式，文件完整（73728 字节）。
- **密码状态核查**：已确认无已知密码，无需重复检查该字段。
- **业务标注筛查**：已确认未被标记为“小额钱包”，后续不必再纠结此标记，直接以链上数据为准。
- **链上同步**：尚未执行——这是下一步的起点，而非重复工作。
- **未尝试**：任何涉及口令猜测、字典生成或暴力枚举的方向均未开展（也暂不建议在缺失线索时盲目投入）。