DOGE 钱包风险检测与恢复评估 #1534

### 1. 一句话结论
该DOGE钱包（ID:1534）当前链上余额约69.19万DOGE，属于“有余额但尚未取得明文密码”的状态；交易活动已于2025年3月后完全静止，目前证据链仅能支撑“钱包曾活跃、现休眠”的结论，无法支撑任何“已破解”或“资金可动用”的判断。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：文件名为“MEGA-BONUS / DOGECOIN WALLET 1,412,072.dat”，格式标注为 `bitcoin_legacy_bdb`（BDB数据库格式，常见于旧版Bitcoin Core派生钱包），文件大小126,976字节。
- **余额与标注**：链上余额为691,886.74966350 DOGE；业务标注“余额很小(≤阈值)”为**否**，即该余额在业务上被视为**有意义的资产**。
- **密码状态**：字段 `cracked_password/actual_password` 明确为**否**，即目前**未获得任何明文密码或助记词**。
- **时间线**：录入时间2026-06-23，数据标注日期2026-06-23，最后更新2026-08-06；钱包文件路径位于 `/www/czb-wallet-common/datasets/fake.czb.com/DOGE/unknown/` 下，属于“来源未知”的归档数据集。
- **链上活动（依据 `wallet_transactions.direction`）**：
- 转入23笔，最后转入时间2024-10-15；
- 转出27笔，最后转出时间2025-03-12；
- 近30天转入/转出均为0笔；
- 交易时间跨度4109天（约11.3年）。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这个钱包最初在2026年6月23日被纳入取证数据集。当时我们看到的是一份躺在“unknown”目录下的 `.dat` 文件，文件名带有“MEGA-BONUS”和“1,412,072”的编号，看起来像某个活动或批次的遗留物。文件格式被识别为 `bitcoin_legacy_bdb`，说明它来自较老的钱包客户端，而非现代HD钱包。

我们首先核对了链上地址 `DPmk67...` 的余额，确认链上确实有近69万DOGE的资产。随后我们拉取了该地址的全部交易流水，发现它从约11年前就开始活动，转入转出交替，但最后两笔动作分别停在2024年10月（最后一笔转入）和2025年3月（最后一笔转出）。从那以后，这个地址再也没有动过。

在尝试访问钱包内部结构时，我们遇到了密码保护。截至目前，所有证据字段都显示 `cracked_password = 否`，意味着我们还没有跨过这道门槛。我们目前能做的，只是基于链上公开数据和文件元数据，还原这个钱包的“外部画像”，而无法触及内部私钥或明文密码。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共23笔，最后一笔发生在2024-10-15。近30天转入笔数为0。
- **转出（send）**：共27笔，最后一笔发生在2025-03-12。近30天转出笔数为0。
- **净流向判断**：转出笔数（27）多于转入笔数（23），但**无法仅凭笔数判断净流向**，因为未提供每笔金额的汇总字段。若需判断该地址是“囤币”还是“消耗”，需补充 `wallet_transactions` 的金额汇总数据。
- **活跃度结论**：自2025年3月12日后，该地址再无任何链上动作，处于完全休眠状态。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额为691,886.74966350 DOGE，业务标注“余额很小”为**否**。即此余额在业务上**不被视为可忽略的零头**，具有继续跟进的必要。
- **明文密码状态**：字段 `cracked_password/actual_password` 为**否**。这意味着**尚未获得任何可用的明文密码、助记词或私钥**。任何关于“已破解”的说法均不属实。当前仍处于“持有加密文件但无法解密内部数据”的阶段。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **补充交易金额明细**：提供 `wallet_transactions` 中每笔转入/转出的金额字段，以计算净流入/流出，判断历史积累方向。
2. **查找同名关联文件**：在数据集内搜索文件名含“MEGA-BONUS”或编号“1,412,072”的其他文件，可能属于同一批次的批量钱包。
3. **核查“unknown”来源目录**：确认 `/fake.czb.com/DOGE/unknown/` 的上游来源，是否有案件编号或导入批次记录。
4. **检查钱包内部元数据**：在合规前提下，尝试读取 `.dat` 文件头部的非加密元数据（如创建时间、上次使用时间），以辅助判断使用习惯。
5. **比对地址标签库**：将主地址 `DPmk67...` 放入公开或内部的地址标签库，看是否有交易所充值地址、已知服务商等标记。
6. **分析4109天跨度内的活跃周期**：结合交易时间戳，找出该钱包历史上“频繁使用”与“长期休眠”的区间，辅助推测持有者行为模式。
7. **寻找同源地址簇**：通过链上分析，找出与该地址有过互动的对手方地址，看是否能聚类出关联钱包群。
8. **补充密码线索材料**：若业务侧存在任何与“MEGA-BONUS”活动相关的历史密码记录、邮件或配置文件，请脱敏后提供，用于合规的密码恢复流程。

### 7. 已尝试方向回顾（避免重复投入）
- **基础格式识别**：已确认钱包为 `bitcoin_legacy_bdb` 格式，排除了现代HD钱包的路径推导方案。
- **链上数据拉取**：已完成该地址全部历史交易的转入/转出统计，确认时间跨度与最后活跃时间。
- **密码状态核验**：已确认当前无任何明文密码或破解成功记录，后续不应假设“密码已拿到”而推进流程。
- **文件元数据初检**：已记录文件大小、路径、命名规则，但未发现直接可用的密码线索。
- **休眠判断**：已确认近30天无任何交易，短期内无需重复监控链上活动，除非有新转入触发。