DOGE 钱包风险检测与恢复评估 #1535

### 1. 一句话结论

这是一枚 DOGE 老旧格式钱包（bitcoin_legacy_bdb），目前**尚未获得明文密码**，链上交易记录**未同步、方向未知**，余额状态也**未确认是否为空**，整体仍处于“证据收集与格式识别”的早期阶段。

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1535，主地址 `1PLADopScsAUwtBkL68zNKKT61bQhbsQSa`，币种 DOGE。
- **文件格式**：`bitcoin_legacy_bdb`，即 Bitcoin Core 旧版 Berkeley DB 钱包格式（DOGE 沿用了该格式）。
- **文件实体**：文件名含 `DOGE +LTE+VACIA / vacia 1PLA...dat`，路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/` 下的 `MEGA-BONUS_DOGE +LTE+VACIA_...` 目录中。
- **文件大小**：90112 字节（约 88 KB），属于小型钱包文件，通常意味着地址/密钥数量不多。
- **录入与更新时间**：录入于 2026-06-23 00:51:54，数据标注于 00:58:28；最近一次更新为 2026-08-06 06:22:00，说明该钱包在约一个半月后仍被系统关注。
- **密码证据**：字段 `cracked_password/actual_password` 为“否”，即**没有强证据表明已拿到明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，即**系统并未判定该钱包余额为空或极小**——但请注意，这并不等于“余额很大”，只是未触发小额阈值标记。
- **链上交易**：**未发现已同步的交易记录**，页面也提示需手动点击“同步交易”才能获取更精确的转出时间。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

6 月 23 日凌晨，系统在 `fake.czb.com` 的 DOGE 审查目录下发现了一个名为 `MEGA-BONUS_DOGE +LTE+VACIA` 的文件夹，里面躺着一份 88 KB 的 `.dat` 文件。从文件头格式判断，它属于 Bitcoin Core 旧版钱包（BDB 数据库），不是新式的 descriptor 钱包——这决定了后续所有处理方式都要按“legacy”路线走。

钱包名称里出现了 `+LTE+VACIA` 和 `vacia` 字样，像是某种业务标签或批次代号，但**目前没有字段能证明这些字符与密码有关**，只能当作命名线索保留。

录入后系统对文件做了基础标注：主地址被提取出来，文件大小、路径、时间戳都被记录在案。但关键的“密码是否已知”字段始终是“否”，说明在 6 月 23 日至 8 月 6 日之间，**没有产生任何“验证成功”的强证据**。

8 月 6 日有一次系统更新记录，但更新内容并未改变密码状态，也未同步链上交易。因此我们现在面对的局面是：**文件在手、格式明确、密码未知、链上空白**。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入记录**：未知（链上交易未同步，无 `direction=receive` 的统计字段）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 的统计字段）。
- **最后活跃时间**：未知（页面提示需先点击“同步交易”才能获取精确时间）。

> 注意：当前所有关于“这笔钱包有没有动过、还剩多少”的说法都缺乏数据支撑，必须等交易同步后才能下结论。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **余额为 0 的业务标注**：系统标注“余额很小(≤阈值)”为**否**，即**未触发小额/空余额标记**。但这只是业务层的粗筛，不代表链上余额已核实。
- **是否拿到明文密码**：**否**。字段 `cracked_password/actual_password` 明确为“否”，因此**没有任何依据声称密码已破解或验证成功**。当前状态是“尚未获得明文密码，仍在测试/等待有效线索”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **手动触发链上交易同步**，获取该地址的 DOGE 转入/转出记录与最后活跃时间——这是当前最大数据缺口。
2. **核实该地址在 DOGE 浏览器上的当前余额与交易笔数**，与业务标注“余额不小”做交叉验证。
3. **检查钱包文件内是否包含多个地址**（BDB 格式可能存有 change 地址或找零地址），确认主地址之外是否还有关联地址。
4. **调取该钱包录入时的来源批次信息**（`MEGA-BONUS`、`+LTE+VACIA` 等命名的业务含义），确认是否来自某个批量导入任务。
5. **确认 2026-08-06 那次更新具体变更了什么字段**（是文件重扫、状态刷新，还是仅触碰了元数据）。
6. **查找同批次（同目录/同命名规则）其他钱包的处理记录**，看是否有同类格式钱包已成功推进的案例可供参照。
7. **补充该钱包的“来源渠道/提交者”元数据**（如上传者、任务单号），有助于判断密码构造习惯。
8. **若业务允许，补充一份该钱包文件的哈希值（SHA-256）**，便于后续去重与版本比对。

### 7. 已尝试方向回顾（避免重复投入）

- **格式识别**：已确认是 `bitcoin_legacy_bdb`，不需要再纠结“是不是新格式钱包”。
- **基础信息提取**：主地址、文件大小、路径、时间戳均已入库，无需重复采集。
- **密码验证状态**：截至目前无任何“验证成功”记录，说明此前尝试（如有）均未产出强证据；后续应避免在无新线索的情况下重复相同测试。
- **链上同步**：尚未执行，属于**未尝试**而非“尝试失败”，应作为下一步首要动作。
- **余额判定**：业务标注已做，但未与链上数据核对，不能视为最终结论。