DOGE 钱包风险检测与恢复评估 #1873

### 1. 一句话结论

这是一枚持有约 245 万 DOGE（按录入时估值约 18.3 万美元）的“只进不出”型钱包，历史共 50 笔转入、0 笔转出，最近一次入账在 2026-04-30；目前我们**尚未获得明文密码**，也**没有证据表明钱包已被破解**，下一步重点是围绕钱包文件来源与命名线索做合规取证。

---

### 2. 我们掌握的事实（证据链）

- **钱包身份**：钱包 ID 1873，主地址 `DAFB4ttW6PPDspdNT498xzz7y83DKqr3NL`，币种 DOGE。
- **余额与估值**：当前余额 `2454322.46025630 DOGE`；业务标注“余额很小(≤阈值)”为**否**，即这是一枚高价值钱包。
- **文件信息**：格式为 `bitcoin_legacy_bdb`（旧版 Berkeley DB 钱包），文件名含“MEGA-BONUS”与“2454322 DOGE 183,174 $ today”字样，路径位于 `fake.czb.com/DOGE/review/` 目录，文件大小 151,552 字节。
- **时间线**：录入时间 2026-06-23 00:58:26，数据标注日期同为 2026-06-23；最后更新 2026-08-06 06:41:01。
- **交易统计（来自 wallet_transactions.direction）**：
- 转入（receive）：50 笔；最后转入 2026-04-30 14:42:01。
- 转出（send）：0 笔；最后转出时间：未知。
- 近 30 天转入/转出均为 0。
- 交易时间跨度：2683 天（约 7.3 年）。
- **密码状态**：`cracked_password / actual_password` 字段为**否**——即目前没有已确认的明文密码。

---

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这枚钱包最早在 2026 年 6 月 23 日被纳入取证视野。当时它出现在一个名为 `review` 的目录下，文件名自带“MEGA-BONUS”和“183,174 $ today”的营销色彩，看起来像某个活动或奖励计划的遗留钱包。我们第一时间记录了它的主地址和余额，并确认这是一份旧版 BDB 格式的 `wallet.dat`，文件大小约 148 KB，属于典型的小型钱包文件。

随后我们拉取了链上交易摘要，发现一个非常干净的模式：**2683 天里只有转入、没有转出**，最后一笔钱在 2026 年 4 月 30 日到账。这种“只进不出”的形态，通常意味着钱包被用作归集地址或长期存储，而非日常支付工具。

在尝试访问钱包内容的过程中，我们始终没有拿到可用的明文密码。截至最新更新（2026-08-06），密码状态仍为“否”。我们也没有发现任何“余额被转走”或“钱包被外部动用”的迹象——因为转出笔数就是 0。换句话说，这枚钱包目前是**静止且完好**的，只是我们还没拿到打开它的钥匙。

---

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转入（receive）**：共 50 笔，最后一笔发生在 2026-04-30 14:42:01。近 30 天无新增转入。
- **转出（send）**：共 0 笔。最后转出时间：**未知**（因无转出记录可参考）。
- **活跃度判断**：交易跨度虽长达 2683 天，但近 30 天完全静默，属于“历史活跃、近期休眠”的地址。
- **资金流向**：基于现有字段，只能确认资金**净流入**，无法推断任何对手方或意图——这些信息不在当前数据范围内。

---

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **业务标注“余额很小”**：该字段为**否**，说明业务侧并不认为这是低价值/空钱包，反而是一枚需要重点跟进的资产。
- **是否拿到明文密码**：**否**。`cracked_password / actual_password` 明确为“否”，因此我们**没有**任何已确认的密码、助记词或私钥。所有涉及“已破解”的说法均不成立。
- **当前状态**：钱包文件完好、余额未动，但访问权限尚未取得。请不要将“余额不为 0”误读为“已破解成功”。

---

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **钱包文件来源背景**：`MEGA-BONUS` 与 `fake.czb.com` 目录暗示该钱包可能来自某个活动/测试环境，补充来源域名、活动名称、经办人记录。
2. **录入人/提交者信息**：2026-06-23 是谁、通过什么流程把这个 `wallet.dat` 提交到 review 目录的。
3. **50 笔转入的对手方地址**：拉取这些转入交易的对端地址，判断是否来自同一来源（如矿池、交易所、归集地址）。
4. **钱包内地址列表**：旧版 BDB 钱包可能包含多个派生地址，导出地址列表有助于交叉验证链上交易。
5. **文件元数据**：`wallet.dat` 的创建时间、修改时间、原始机器信息（如有）。
6. **同目录其他文件**：`review` 目录下是否存在同批次的其他钱包或说明文档（如 readme、密码提示）。
7. **历史备份**：是否有该钱包早期版本的备份文件（更小、更早的 wallet.dat），有时旧备份的密码策略更简单。
8. **业务侧标注**：该钱包在业务系统中是否关联工单、客户投诉或法律流程，这些上下文可能包含合法获取密码的途径。

---

### 7. 已尝试方向回顾（避免重复投入）

- **基础格式识别**：已确认是 `bitcoin_legacy_bdb` 格式，排除了现代 HD 钱包的假设。
- **链上活跃度分析**：已完成转入/转出统计，确认无转出、无近 30 天活动，排除了“钱包已被盗用”的可能。
- **密码状态核查**：已核实 `cracked_password` 字段为否，确认当前没有可用明文密码，后续无需再重复检查该字段。
- **余额业务标注核查**：已确认业务侧不认为这是小额钱包，因此**不应**按“低价值/放弃处理”流程关闭此案。
- **未做方向**：未进行任何可能涉及暴力猜测或规则推导的尝试（也请后续不要朝这个方向投入，既不合规也低效），建议集中精力在来源追溯与合法密钥找回渠道上。