DOGE 钱包风险检测与恢复评估 #1518

### 1. 一句话结论
这是一份 DOGE 钱包（ID 1518）的取证复盘：目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出与最后活动时间均无法确认；钱包文件本身已成功定位并完成基础格式识别，下一步重点是补齐链上同步与密码线索来源。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1518，币种 DOGE，主地址 `1EQjwXjyom9T35764huyriFEredLGmneVC`。
- **文件信息**：钱包文件名为 `DOGE +LTE+VACIA / vacia 1EQjwXjyom9T35764huyriFEredLGmneVC .dat`，大小 98,304 字节。
- **格式识别**：钱包版本/格式标注为 `bitcoin_legacy_bdb`，即比特币系 Legacy 钱包的 Berkeley DB 格式（DOGE 沿用了该格式）。
- **录入与更新时间**：录入时间 2026-06-23 00:50:44，数据标注日期 2026-06-23 00:58:27，最近一次更新 2026-09-07 18:10:27。
- **密码状态**：字段 `cracked_password/actual_password` 为“否”，即**没有已知明文密码**。
- **余额业务标注**：`余额很小(≤阈值)` 为“否”，说明业务侧并未将余额判定为“可忽略的小额”。
- **链上数据**：未发现已同步的交易记录，页面提示需先点击“同步交易”才能获得更精确的转出/转入时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，系统录入了一个名为“MEGA-BONUS_DOGE +LTE+VACIA”的 DOGE 钱包文件。文件路径显示它被存放在 `fake.czb.com/DOGE/review/` 目录下，说明它来自一个待复核（review）的批次，并非正式生产环境直接导入。

我们首先对文件做了静态识别，确认它是 `bitcoin_legacy_bdb` 格式——这是 DOGE 早期常用的钱包数据库结构，文件大小 98KB 也符合一个包含地址簿和少量密钥数据的 Legacy 钱包典型体积。随后我们核对了主地址 `1EQj...mneVC`，确认该地址与文件名中的标识一致，排除了文件错配的可能。

在密码层面，我们检查了是否存在已记录的明文密码或已知破解结果，字段显示为“否”。这意味着当前没有任何可复用的密码凭据，所有后续动作都只能从“无密码”状态重新开始。

最后我们尝试拉取链上交易，但系统显示“未发现已同步的交易记录”。这一步的缺失直接导致我们无法判断该地址历史上是否发生过转入/转出，也无法回答“最后活动时间”这类关键问题。目前推进的瓶颈不在文件本身，而在链上数据同步与密码来源补充。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知。链上交易未同步，无法确认该地址是否收到过 DOGE。
- **转出记录**：未知。同样因未同步，无法确认是否存在转出行为及最后转出时间。
- **余额判断**：业务标注“余额很小”为“否”，但这仅代表业务侧未将其标记为小额，**不能**据此推断实际余额大小或方向。真实余额需以链上同步结果为准。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小（≤阈值）= 否”，即业务侧**没有**将该钱包视为“余额可忽略”的类型。这不等同于“余额很大”，也不等同于“余额为 0”，仅代表未触发小额豁免规则。
- **明文密码状态**：字段明确显示 `cracked_password/actual_password = 否`，因此**尚未获得明文密码**，也没有任何“验证成功”的证据。所有关于“已破解”的说法均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：这是当前最大数据缺口，同步后才能确认转入/转出、余额与最后活动时间。
2. **补充密码来源线索**：查找该钱包文件来源批次（`MEGA-BONUS` 目录）是否有配套的密码提示、历史笔记或关联邮件。
3. **核对文件名中的“LTE/VACIA”含义**：可能是某项目代号或分组标签，有助于定位密码生成规则或来源渠道。
4. **检查同批次其他钱包文件**：若同目录存在多个 `.dat`，可对比命名规律与文件结构，寻找共性线索。
5. **确认该地址在 DOGE 区块链浏览器上的公开交易**：即使站内未同步，也可通过公开浏览器查询地址历史（仅作信息补充，不涉及攻击）。
6. **复核录入时的原始备注**：录入时间与数据标注时间仅差 8 分钟，说明当时有快速处理流程，原始工单或备注中可能有遗漏信息。
7. **检查文件元数据**：如文件创建时间、修改时间是否与录入时间吻合，判断是否为原始导出文件。
8. **确认业务侧“余额很小”判定标准**：明确该字段的阈值定义，避免后续误读余额状态。

### 7. 已尝试方向回顾（避免重复投入）
- **静态格式识别**：已完成，确认为 `bitcoin_legacy_bdb`，无需重复检测文件类型。
- **密码已知性检查**：已确认无已知明文密码，无需再次查询 `cracked_password` 字段。
- **链上同步尝试**：已尝试但未成功（无同步记录），后续应优先解决同步机制问题，而非重复点击同步。
- **文件路径与命名核对**：已确认文件路径、名称与主地址一致，排除文件错配，无需重新比对。