DOGE 钱包风险检测与恢复评估 #1516

### 1. 一句话结论

这是一个名为“MEGA-BONUS / DOGECOIN WALLET 787,252”的DOGE钱包（ID:1516），当前链上余额约78.7万DOGE，但**尚未获得明文密码**，且该钱包存在“余额很小”的业务标注，需先厘清该标注与实际余额的矛盾。

### 2. 我们掌握的事实（证据链）

- **钱包基础信息**：币种DOGE，主地址`DSB6tWMg89VYb62ZuVsJUD19dFauvoLWsy`，钱包格式为`bitcoin_legacy_bdb`，文件大小73,728字节。
- **余额与标注**：链上余额为787,252.92913307 DOGE；但业务字段`余额很小(≤阈值, 业务标注)=否`，说明系统并未将其判定为“小额钱包”，而`已知密码存在=否`，即**没有强证据表明密码已被还原**。
- **时间线**：录入时间2026-06-23，数据标注日期2026-06-23，最近更新2026-09-07。文件路径显示其来自`fake.czb.com`数据集下的`unknown`目录。
- **交易统计（依据`wallet_transactions.direction`）**：转出（send）6笔，转入（receive）12笔；最后转出2014-11-04，最后转入2026-05-02；近30天转入/转出均为0笔；交易跨度4237天。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）

这个钱包最初在2026年6月23日被录入系统，文件名带着“MEGA-BONUS”和“787,252”的字样，看起来像是一个带有奖励性质的旧钱包。文件路径指向`fake.czb.com`的测试数据集，这提示它可能来自某个模拟或备份环境。

我们首先核对了它的链上状态：余额显示有78万DOGE，但业务系统同时给了一个“余额很小”的标注——这个矛盾让我们警惕，可能该标注是基于某个内部阈值（比如仅统计可用余额或某类地址），而非链上全量余额。

接着我们拉取了它的交易流水。数据显示，这个钱包在2014年11月有过最后一笔转出，之后转入记录一直延续到2026年5月。也就是说，它经历了从“活跃支出”到“长期只进不出”的转变，跨度超过11年（4237天）。近30天没有任何动静，说明它不是高频操作钱包。

关于密码，目前所有字段都指向同一个结论：**我们还没有拿到明文密码或助记词**。系统里`cracked_password/actual_password`字段为“否”，意味着没有任何强证据支持“已破解”的说法。我们仍在测试与验证阶段。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）

- **转出（send）**：共6笔，最后一笔发生在2014-11-04。说明该钱包在2014年后基本停止了主动支付行为。
- **转入（receive）**：共12笔，最后一笔发生在2026-05-02。说明近期（2026年5月）仍有资金进入，但近30天（截至更新日2026-09-07）无新增转入。
- **净流向判断**：仅凭笔数（转出6 vs 转入12）无法判断净流向，因为缺少每笔金额字段。若要判断是“归集钱包”还是“支出钱包”，需补充`wallet_transactions`的`amount`与`tx_hash`明细。
- **未知项**：每笔交易的具体金额、对手地址、交易哈希均未提供，暂无法做更深入的流向分析。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）

- **关于“余额很小”标注**：该字段当前值为“否”，即业务系统**并未**判定此钱包为“余额≤阈值”的小额钱包。因此不存在“因余额为0而放弃”的情况，余额与标注的矛盾需要进一步解释（可能是阈值定义不同或数据同步延迟）。
- **关于明文密码**：`已知密码存在=否`，即**尚未获得明文密码/助记词/私钥**。所有关于“已破解”的猜测均无事实依据。当前状态是“仍在测试中”，而非“已攻破”。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）

1. **交易明细表**：提供`wallet_transactions`的完整字段（含`amount`、`tx_hash`、`counterparty`），用于判断净流向与资金归集模式。
2. **业务标注口径说明**：解释“余额很小”阈值的具体定义，为何与链上78万DOGE不一致。
3. **钱包来源背景**：文件路径含`fake.czb.com`，请确认该数据集是真实主网钱包还是测试网/模拟数据，避免在错误环境上浪费时间。
4. **密码线索档案**：若曾有过任何密码提示、部分片段或历史泄露记录，请提供脱敏后的元信息（如密码长度、字符类型），但**不要提供明文**。
5. **钱包创建时间**：通过地址`DSB6t...`在区块浏览器上查询首笔交易时间，以验证文件时间戳与链上活跃期是否吻合。
6. **关联地址群**：该地址是否与其他已知钱包地址有过交易往来？若有，可提供关联地址列表用于背景调查。
7. **文件哈希与来源链**：提供该`.dat`文件的SHA-256哈希，确认是否与公开泄露的字典或样本库匹配。
8. **历史工单记录**：该钱包是否曾出现在其他案件或用户申诉中？若有，请附上工单编号。

### 7. 已尝试方向回顾（避免重复投入）

- **基础格式识别**：已确认钱包格式为`bitcoin_legacy_bdb`（Berkeley DB旧版），排除了非标准格式的干扰。
- **余额矛盾排查**：已发现“链上余额”与“业务标注”不一致，并定位为需要业务方解释的口径问题，而非技术故障。
- **交易活跃度分析**：已确认该钱包处于“低活跃”状态（近30天无交易），排除了高频操作钱包的可能性。
- **密码状态核实**：已确认系统内无任何“密码已存在”的强证据，因此**未进入“已破解”流程**，后续工作应聚焦于线索补充，而非重复尝试已知无效的猜测路径。