DOGE 钱包风险检测与恢复评估 #1538

### 1. 一句话结论
这是一枚 DOGE 老式钱包（bitcoin_legacy_bdb 格式），目前**尚未获得明文密码**，且链上交易记录**尚未同步**，因此既无法确认余额真实情况，也无法判断最后动账时间；当前最优先事项是补齐“链上同步数据”和“密码已知性”两项关键证据。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：钱包 ID 1538，币种 DOGE，主地址 `1MSHHa7vC3zKGAvZ1LuS7tvBKe58wtZbsr`（该地址属于 DOGE 的 legacy 格式）。
- **文件信息**：文件名为 `DOGE +LTE+VACIA / vacia 1MSHHa7vC3zKGAvZ1LuS7tvBKe58wtZbsr.dat`，大小 57344 字节，格式标注为 `bitcoin_legacy_bdb`（即 Berkeley DB 旧版钱包）。
- **时间线**：录入时间 2026-06-23 00:52:13，数据标注时间 2026-06-23 00:58:28，最近一次更新 2026-08-06 06:30:01。
- **密码状态（强证据字段）**：`cracked_password/actual_password` 字段为“否”，即**没有证据表明已拿到明文密码**。
- **余额标注**：业务标注显示“余额很小(≤阈值)”为“否”，即**并未被标记为小额钱包**——但这只是业务侧标注，并非链上确认。
- **链上交易**：当前“未发现已同步的交易记录”，系统提示需手动点击同步才能获得更精确的动账时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日凌晨，这枚钱包被录入系统，当时我们拿到的是一个 57KB 左右的 `.dat` 文件，格式是老式 Bitcoin 系钱包常用的 BDB 结构。从文件名看，它带有“DOGE +LTE+VACIA”和地址后缀，推测是某个活动或批次（MEGA-BONUS）遗留的备份文件。

录入后约 6 分钟，系统完成了基础标注，但当时并没有同步链上交易。随后在 8 月 6 日，钱包记录被更新过一次，但更新内容并未改变“密码未知”和“交易未同步”这两个核心状态。

也就是说，目前我们停留在“已建档、已解析文件结构、但未打通链上数据”的阶段。整个推进过程是合规的取证流程：先确认文件格式与地址归属，再尝试同步链上行为，最后才谈密码验证——而最后一步目前没有成功证据。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后动账时间**：未知（系统明确提示需先点击同步交易）。
- **结论**：在完成链上同步之前，任何关于“这笔钱什么时候进来/出去”的说法都属于臆测，本报告不予采信。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务标注“余额很小”**：该字段为“否”，说明业务侧**没有**将本钱包判定为“余额≤阈值”的小额钱包。但这只是内部标注，不等同于链上真实余额。
- **是否拿到明文密码**：**否**。强证据字段 `cracked_password/actual_password` 明确为“否”，因此我们**尚未获得任何明文密码、助记词或私钥**，所有相关测试仍在进行中，未宣告成功。
- **重要区分**：即使未来链上同步显示余额为 0，也不代表密码已被破解——余额归零与密码未知是两个独立维度，不能互相推导。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：这是当前最大数据缺口，直接决定能否判断转入/转出与最后动账时间。
2. **补充钱包来源背景**：文件名含“MEGA-BONUS”“LTE+VACIA”，建议提供该批次的来源说明或活动上下文，有助于判断用途。
3. **确认文件完整性**：核对 57344 字节文件是否与原始备份一致，排除截断或损坏导致解析不全。
4. **检查同批次其他钱包**：若存在同批次钱包（如其他 DOGE 地址），可横向对比文件结构，辅助判断密码策略是否统一。
5. **补充地址归属线索**：若有该地址的历史备注、关联邮箱或用户名（如“vacia”），可帮助缩小密码线索范围。
6. **提供钱包创建时间线索**：若知道大概创建年份，可辅助判断当时使用的密码习惯或钱包版本特性。
7. **确认是否有旧版备份**：若有更早的 `.dat` 备份，可对比文件差异，有时旧版文件包含更弱的保护参数。
8. **补充业务侧“余额很小”标注的依据**：该字段为“否”，请说明当时是基于什么数据做出的判断（链上查询？还是文件内记录？）。

### 7. 已尝试方向回顾（避免重复投入）
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，无需重复猜测钱包类型。
- **基础建档**：已完成钱包 ID、地址、文件路径、时间戳的登记与核对。
- **密码已知性检查**：已确认强证据字段为“否”，即当前没有可用的明文密码结果，后续不应假设“密码已拿到”而跳过验证步骤。
- **链上同步尝试**：目前显示未同步，说明此前可能未完成或未触发同步操作，下一步应直接执行同步，而非重复检查本地文件。
- **余额标注复核**：业务标注“余额很小=否”已存在，但缺乏链上佐证，建议不要基于该标注做任何资金量级推断，直到同步完成。