DOGE 钱包风险检测与恢复评估 #1546

### 1. 一句话结论
这是一份DOGE钱包（ID 1546）的取证复盘：目前**尚未获得明文密码**，链上交易记录**未同步**，因此转入/转出与最后活动时间均无法确认；钱包本身为“bitcoin_legacy_bdb”格式的.dat文件，当前处于“有余额但未破解”的待推进状态。

### 2. 我们掌握的事实（证据链）
- **钱包标识**：ID 1546，币种 DOGE，主地址 `1NuNHWG4Ujs9wjH9wciVEoJCsgXmn6PfX9`。
- **文件信息**：钱包名称为 `DOGE +LTE+VACIA / vacia 1NuNHWG4Ujs9wjH9wciVEoJCsgXmn6PfX9.dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/MEGA-BONUS_DOGE +LTE+VACIA_vacia 1NuNHWG4Ujs9wjH9wciVEoJCsgXmn6PfX9.dat-d1020c5a8d9f/` 下，文件大小 **98304 字节**。
- **格式与版本**：`bitcoin_legacy_bdb`（旧版Berkeley DB格式，常见于早期Bitcoin系钱包，DOGE沿用了该结构）。
- **录入与更新时间**：录入于 2026-06-23 00:52:55，数据标注于同日 00:58:28，最近一次更新为 2026-08-06 06:30:01。
- **破解状态字段**：`cracked_password/actual_password` 为 **否**（即无强证据表明已拿到明文密码）。
- **余额标注**：业务标注“余额很小(≤阈值)”为 **否**，即当前业务侧认为余额**不满足“小额忽略”条件**，仍值得继续投入。
- **链上交易**：**未发现已同步的交易记录**（页面提示需手动点击“同步交易”才能获取更精确的转出时间）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6月23日凌晨，系统录入了一个名为“MEGA-BONUS_DOGE +LTE+VACIA”的DOGE钱包文件。从命名看，它可能来自某个“奖励/空投”场景，文件名中出现了“vacia”与主地址重复，推测该文件是某个批量导出包中的一份。

我们首先确认了文件格式为 `bitcoin_legacy_bdb`——这是较老的钱包数据库结构，意味着读取方式与新版钱包不同，需要按旧版BDB逻辑解析。文件大小约96KB，属于小型钱包文件（通常只包含少量地址与密钥记录）。

随后我们检查了破解状态：目前**没有**任何“已知密码存在”的强证据（`cracked_password=否`）。这意味着我们尚未从该文件中提取出可用的明文密码或助记词，也没有通过其他途径验证成功。

同时，业务侧标注“余额很小”为**否**，说明从业务角度看，这个钱包的余额**没有小到可以放弃**，因此它仍被保留在“待处理/待破解”队列中。

最后，我们尝试查看链上活动，但系统显示**没有已同步的交易记录**。也就是说，我们目前无法判断这个地址历史上是否转过DOGE、最后活动时间是什么时候——这一步需要先完成“交易同步”才能继续。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（需先同步交易）。
- **说明**：当前所有关于“转出/转入”的猜测均无数据支撑，请勿基于文件名或地址前缀做推断。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：标注为“余额很小(≤阈值)=否”，即业务侧**不认为**该钱包余额可忽略，仍视为有效目标。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，也未验证成功。当前仍处于“未破解”状态。
- **重要区分**：即使未来业务标注变为“余额为0/可忽略”，那也只代表“不值得继续投入”，**不等于**“密码已拿到”。两者必须分开记录。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **手动触发“同步交易”**：优先补齐该地址的链上转入/转出记录，确认是否仍有余额、最后活动时间。
2. **补充钱包来源上下文**：文件名含“MEGA-BONUS”与“LTE+VACIA”，请提供该文件的来源活动名称、导出批次或关联工单，便于缩小密码猜测范围。
3. **提供同批次其他钱包文件**：若同目录下存在其他 `.dat` 文件，可对比其命名规律与结构，判断是否为批量生成。
4. **补充该地址的历史备注**：是否有用户提交的“找回密码”工单、邮箱或手机号绑定信息（脱敏后提供）。
5. **检查BDB文件内部结构完整性**：确认是否包含加密密钥槽（encrypted key）或仅含公钥索引，以判断破解优先级。
6. **提供钱包创建时间线索**：若知道大致创建年份，可帮助判断当时常用的密码策略。
7. **补充“vacia”关键词含义**：该词出现在文件名与地址后，可能是用户名、活动代号或密码提示，请业务方确认。
8. **调取该地址在其它链上的同名文件**：若同一助记词/密钥曾用于BTC或LTC钱包，可交叉比对（仅比对结构，不涉及明文）。

### 7. 已尝试方向回顾（避免重复投入）
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再重复检测文件类型。
- **基础字段核对**：已确认主地址、文件名、路径、大小、录入时间，无需重复采集。
- **破解状态确认**：已确认当前无“已知密码”证据，**不要**在无新线索时重复跑相同字典或规则。
- **交易同步**：尚未执行，属于**未完成项**，不是“已尝试失败”，下次应优先做。
- **业务标注读取**：已读取“余额很小=否”，该字段不会自动变化，除非业务侧重新评估。

---
*本报告仅基于现有字段做合规复盘，不含任何攻击步骤或敏感信息还原。*