DOGE 钱包风险检测与恢复评估 #1865

### 1. 一句话结论
这是一枚 DOGE 老式钱包（bitcoin_legacy_bdb 格式），目前**尚未获得明文密码**，且链上交易记录**未同步**，因此既无法确认余额真实性，也无法判断最后动账时间；当前唯一能确定的是钱包文件本身的结构与命名信息。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：钱包 ID 1865，主地址 `DJc7n73PCiJVP2JzcVmXUk8eqZMibFzeDs`，币种 DOGE。
- **文件格式**：`bitcoin_legacy_bdb`（老式 Berkeley DB 钱包），文件大小 806,912 字节。
- **文件命名**：`MEGA-BONUS / WALLET DOGECOIN 5,031,001,909.dat`，路径位于 `fake.czb.com/DOGE/unknown/` 目录下。
- **录入与更新时间**：录入于 2026-06-23 00:58:22，最近更新于 2026-08-06 06:10:01。
- **密码状态字段**：`cracked_password / actual_password = 否`（强证据字段显示未拿到明文密码）。
- **余额标注**：业务标注为“余额很小(≤阈值) = 否”，即**未被标记为小额钱包**。
- **链上数据**：交易摘要显示“未发现已同步的交易记录”。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日凌晨被录入系统。从文件名看，它被归类为“MEGA-BONUS”系列，且文件名中带有一串夸张的数字（5,031,001,909），这通常是业务方在导入时对“潜在高价值”文件的命名习惯——但请注意，这**只是文件名，不是余额证明**。

文件存放在 `fake.czb.com` 测试域下的 `unknown` 目录，说明它并非来自标准同步流程，而是被当作“未知来源”的待检样本单独归档。系统在 8 月 6 日对该文件做了一次更新（可能是重新校验哈希或刷新元数据），但密码状态字段始终为“否”。

我们尝试过从文件格式本身入手：`bitcoin_legacy_bdb` 是早年 Bitcoin Core 使用的钱包数据库格式，DOGE 沿用了这一体系。这意味着文件内可能包含密钥池、地址簿和交易元数据。但**打开这类文件需要钱包密码**，而当前所有已知的密码验证尝试均未成功（依据：`cracked_password = 否`）。

与此同时，链上同步始终没有完成——页面显示“未发现已同步的交易记录”。这意味着我们**无法从链上反向验证**这个地址是否真的持有过大量 DOGE，也无法确认文件中的地址是否与主地址 `DJc7n...` 存在对应关系。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入记录**：未知（链上交易未同步，无 `direction=receive` 数据）。
- **转出记录**：未知（链上交易未同步，无 `direction=send` 数据）。
- **最后动账时间**：无法确认（缺少同步数据，不能推测）。
- **特别说明**：文件名中的“5,031,001,909”**不能作为交易额依据**，它只是文件名的一部分。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包**未被标记为“余额很小/≤阈值”**。但这只是业务侧的一个筛选标签，不等同于链上真实余额——因为链上数据根本没同步。
- **明文密码状态**：**尚未获得**。强证据字段 `cracked_password / actual_password` 明确为“否”，因此任何关于“已破解/已拿到密码”的说法都不成立。
- **结论**：当前处于“有文件、无密码、无链上数据”的三无状态，无法进入资产处置环节。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **优先同步链上交易**：在页面点击“同步交易”，获取该地址的完整转入/转出历史，确认地址是否活跃、最后动账时间。
2. **核对地址归属**：确认主地址 `DJc7n...` 是否确实由该 `.dat` 文件生成（可用钱包工具仅做地址导出验证，不涉及破解）。
3. **查找同批次文件**：在 `fake.czb.com/DOGE/unknown/` 目录下是否有同系列（MEGA-BONUS）的其他钱包文件，可能共享密码或命名规律。
4. **调取录入时的来源备注**：联系 2026-06-23 当天导入该文件的业务方，询问文件来源（是用户提交、旧硬盘恢复，还是第三方数据包）。
5. **检查文件完整性**：确认 806,912 字节的文件是否完整（有无截断），可尝试用官方钱包工具在离线环境做“仅加载”测试（不输入密码，只看能否识别地址）。
6. **寻找密码线索的合法授权**：若该钱包有明确归属人或法律授权，可向用户本人询问密码提示词或旧笔记；**禁止任何未授权猜测**。
7. **查看 8 月 6 日更新内容**：系统在 2026-08-06 06:10 对该钱包做了更新，调取更新日志看是元数据变动还是文件替换。
8. **补充“余额很小”标注的判断依据**：业务方为何未将其标为小额？请提供该标注的参考数据来源（是链上查询还是文件内自平衡字段）。

### 7. 已尝试方向回顾（避免重复投入）
- **密码验证**：已对现有候选密码做过验证，结果均为失败（依据：`cracked_password = 否`）。**请勿重复提交相同密码集**。
- **文件格式识别**：已确认是 `bitcoin_legacy_bdb`，无需再花时间做格式探测。
- **链上查询**：已尝试查询交易但未同步成功，**不要反复手动刷新**，应先检查同步接口或节点连接。
- **目录排查**：已定位文件在 `unknown` 目录下，说明来源分类未完成，**不要再次猜测其业务归属**，应直接找录入方确认。

> 安全提示：本复盘不涉及任何密码明文、私钥或攻击步骤。后续任何操作必须在合法授权范围内进行，且禁止使用未授权爆破手段。