DOGE 钱包风险检测与恢复评估 #1877

### 1. 一句话结论
这是一枚 DOGE 钱包（ID 1877），目前**尚未获得明文密码**，链上交易记录**未同步**，因此无法判断余额或资金流向；现有信息仅能确认钱包文件本身已入库并完成基础格式识别。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1877，币种 DOGE，主地址 `D873taQfRM5eidG1RB36BJQtkqiagHa9jC`。
- **文件来源**：路径指向 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/review/MEGA-BONUS_Dogecoin_wallet4.dat-40fb785ad41b/wallet4.dat`，文件名为 `wallet4.dat`，大小 98304 字节。
- **格式识别**：钱包版本/格式标注为 `bitcoin_legacy_bdb`（即 Berkeley DB 旧版格式，常见于早期 Dogecoin Core 钱包）。
- **密码状态**：字段 `cracked_password/actual_password` 明确为“否”，即**没有已知明文密码**。
- **业务标注**：余额很小（≤阈值）的标注为“否”，说明业务侧**并未认定该钱包余额可忽略**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”，即当前数据库内没有该地址的转入/转出明细。
- **时间线**：录入时间 2026-06-23 00:58:26，最后更新 2026-08-06 06:41:01，数据标注日期与录入时间一致。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
6 月 23 日，系统将该钱包文件纳入审查队列，当时完成基础登记：确认币种为 DOGE，主地址已提取，文件格式被识别为 `bitcoin_legacy_bdb`。这个格式说明钱包文件是旧版 Dogecoin Core 客户端生成的，内部结构基于 Berkeley DB 存储。

随后，我们尝试对钱包文件进行解析与密码验证。但截至 8 月 6 日最后一次更新，**密码验证仍未通过**，也没有任何“已知密码”被标记为有效。与此同时，链上交易同步一直处于“未完成”状态——这意味着我们手里只有钱包文件的静态快照，缺少链上收支记录来辅助判断资金规模。

简单说：**文件拿到了、格式看清了、密码没破、链上没同步**。这就是当前推进的全部边界。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后活动时间**：无法确认（无同步交易时间戳）。
- **补充说明**：若需判断该地址是否曾有大额进出，必须先完成交易同步，否则任何关于“冷钱包”或“历史活跃”的结论都属于猜测。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：当前标注为“余额很小（≤阈值）= 否”，即业务侧**没有**将该钱包视为可忽略的零钱地址。但这只是业务筛选标记，**不是链上余额证明**。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未获得明文密码**，也未验证成功。任何“已破解”的说法均不成立。
- **两者关系**：即使业务标注为“余额小”，也不代表密码已拿到；反之，密码未拿到也不代表余额一定很大。二者是独立字段，不能互相推导。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先触发链上交易同步**：补齐该主地址的 DOGE 转入/转出记录，这是判断资金规模与活跃度的最直接证据。
2. **核对钱包文件来源上下文**：路径中 `MEGA-BONUS` 与 `review` 目录暗示该文件可能来自某次批量审查或活动备份，建议调取同批次文件清单，看是否有配套说明。
3. **检查同一路径下是否有其他钱包文件**：`wallet4.dat` 暗示可能存在 `wallet1.dat`~`walletN.dat`，对比同批次文件可辅助判断该地址是否为主力钱包。
4. **确认钱包文件是否加密**：若文件头显示未加密，则无需密码即可直接解析；若加密，需明确加密算法版本（`bitcoin_legacy_bdb` 常见于旧版 AES-256-CBC）。
5. **调取钱包创建时间线索**：若文件元数据或备份目录名含时间戳，可辅助推测钱包生成时段，缩小密码设置习惯的排查范围。
6. **补充“已知密码池”或“用户自述密码”材料**：如果有用户提交过任何密码提示或历史密码片段，可重新评估验证策略。
7. **检查是否有同名地址在其他币种钱包中出现**：若同一助记词或私钥派生过 BTC/LTC 地址，可交叉验证资产归属。
8. **复核业务标注“余额很小=否”的依据**：确认该标注是来自链上查询还是历史快照，避免因过期数据误导后续投入。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式解析**：已确认钱包为 `bitcoin_legacy_bdb` 格式，文件大小 98304 字节，结构完整可读——无需重复做格式探测。
- **密码验证尝试**：已进行过一轮密码验证流程，结果为“未通过/无已知密码”，不建议在无新线索时盲目重复相同测试。
- **链上同步尝试**：截至更新日期，交易同步仍未成功，后续应先解决同步问题，而非反复检查本地文件。
- **业务侧筛选**：已确认该钱包未被标记为“余额可忽略”，因此不应按“低价值钱包”提前结束审查。