DOGE 钱包风险检测与恢复评估 #1874

### 1. 一句话结论
这是一枚DOGE旧版钱包文件（bitcoin_legacy_bdb格式），目前**尚未获得明文密码**，且**链上交易记录尚未同步**，因此无法对资金流向或余额做任何确认；下一步的关键是补齐“密码线索”和“链上同步数据”两块拼图。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包ID 1874，币种DOGE，主地址 `D7Nq8cRMfPgQ3tX1A5J7vobx9mB2nTWAfG`。
- **文件信息**：钱包名 `MEGA-BONUS / DogecoinwalletDP9jWXqQCqxyGArwS4wpnhdTRrTKqLKTwY.dat`，大小 745,472 字节，路径位于 `fake.czb.com/DOGE/unknown/` 目录下。
- **格式判断**：版本标注为 `bitcoin_legacy_bdb`，属于早期Bitcoin系钱包（DOGE同源）的Berkeley DB格式，非现代HD钱包。
- **时间线**：录入时间 2026-06-23 00:58:26，最后更新 2026-08-06 06:41:01，数据标注日期与录入时间一致。
- **密码状态**：强证据字段（cracked_password/actual_password）显示为“否”，即**没有已验证成功的明文密码**。
- **余额标注**：业务标注“余额很小(≤阈值)”为“否”，说明**未被系统判定为小额钱包**，但该标注不等于链上真实余额。
- **交易记录**：链上交易摘要显示“未发现已同步的交易记录”，即当前数据库内无任何转入/转出流水。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
事情要从2026年6月23日说起。那天系统录入了一个名为“MEGA-BONUS”的DOGE钱包文件，文件来自一个标注为 `unknown` 的目录，路径里带着 `fake.czb.com` 的测试域名痕迹——这让我们初步判断它可能来自某个历史活动或备份归档，而非日常热钱包。

文件本身是745KB的 `.dat` 老格式，属于Bitcoin Legacy BDB结构。这类钱包在2015年前后很常见，DOGE与BTC同源，所以格式通用。我们首先确认了主地址，并检查了钱包内是否带有已知密码的强证据字段——结果是否定的，说明此前没有成功验证过任何密码。

随后我们尝试查看链上同步情况，但系统内没有任何已同步的交易记录。这意味着我们既无法确认这个地址是否真的发生过转账，也无法判断“余额很小”的业务标注是否准确。目前我们手里有的，只是一个静态文件快照和它的元数据，资金动向仍是空白。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 direction=receive 数据）。
- **转出记录**：未知（链上交易未同步，无 direction=send 数据）。
- **结论**：当前数据库内不存在任何已确认的转入或转出流水。任何关于“最后转出时间”“历史收款”的说法均无依据，需先完成链上同步。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：系统标注“余额很小(≤阈值)”为“否”，即**未被标记为小额钱包**。但这只是业务侧的一个筛选标记，不等同于链上真实余额为0或非0，也不代表已清空。
- **明文密码状态**：强证据字段明确为“否”，即**尚未获得任何已验证的明文密码**。所有关于“已破解”“已拿到密码”的说法均不成立，当前仍处于密码未知阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先执行链上交易同步**：在页面点击同步交易，获取该主地址的完整转入/转出历史，这是判断资金现状的前提。
2. **补充密码线索来源**：查找该钱包文件关联的旧笔记、邮件、CSV导出或历史密码库条目，任何与“MEGA-BONUS”或文件名后缀相关的字符串都可能有用。
3. **核查文件来源目录**：路径中 `fake.czb.com` 与 `unknown` 暗示测试环境，建议回溯该文件的上传者、批次任务ID及原始压缩包。
4. **比对同批次钱包**：检查同一目录或同一时间段录入的其他钱包文件，看是否存在共用密码或命名规律（仅作关联分析，不涉及破解）。
5. **确认钱包创建时间**：通过BDB文件内部时间戳或区块关联，推测钱包活跃年代，缩小密码设置习惯范围。
6. **检查地址是否曾出现在公开交易**：用区块浏览器查询 `D7Nq8cRMfPgQ3tX1A5J7vobx9mB2nTWAfG`，确认是否有历史交易及最后活跃区块。
7. **核实“余额很小”标注的判定依据**：调取业务标注的原始逻辑，确认它是基于同步数据还是文件元数据，避免误判。
8. **补充钱包所有者的身份线索**：若该钱包来自某活动或用户提交，查找工单、客服记录或KYC信息，可能提供密码提示答案。

### 7. 已尝试方向回顾（避免重复投入）
- **密码强证据检查**：已确认无 `cracked_password` / `actual_password` 字段，说明此前未走通“已知密码验证”路径，无需重复验证同一来源。
- **链上同步尝试**：当前系统内无交易记录，说明同步动作尚未成功或从未执行，后续应直接做同步而非重新解析文件。
- **格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再花时间猜测格式；后续若做密码测试，应针对该格式的密钥派生逻辑准备材料，但注意不展开攻击细节。
- **文件完整性**：文件大小745,472字节，路径完整，未发现截断或损坏迹象，无需重新获取文件。