DOGE 钱包风险检测与恢复评估 #1541

### 1. 一句话结论
这是一枚**DOGE 钱包（ID 1541）**，链上记录显示历史上曾收到 50 笔转入、无任何转出，当前账面余额约 949 万 DOGE；但**尚未获得明文密码**，且业务侧并未将其标注为“余额为0/小额”，因此目前仍处于“有余额、无密码、待突破”的状态。

### 2. 我们掌握的事实（证据链）
- **钱包身份**：主地址 `DSpLLe3H51RVR3EjSsjrSeJBjWxkwSC3im`，币种 DOGE，钱包名称含 `MEGA-BONUS / WALLET DOGECOIN 9,491,327.dat`。
- **文件信息**：格式为 `bitcoin_legacy_bdb`，大小 114,688 字节，路径位于 `fake.czb.com/DOGE/unknown/` 目录下，录入时间 2026-06-23，最近一次更新 2026-08-06。
- **余额数据**：账面余额 `9,491,329.04173910 DOGE`，业务标注“余额很小”为**否**。
- **交易统计（依据 wallet_transactions.direction）**：
- 转入 50 笔，最后一笔转入时间 2026-04-28 23:18:59；
- 转出 0 笔，最后转出时间未知；
- 近 30 天转入/转出均为 0；
- 交易时间跨度 4376 天（约 12 年）。
- **密码状态**：`cracked_password/actual_password` 字段为**否**，即没有强证据表明已拿到明文密码。

### 3. 复盘故事：我们是怎么推进到现在的（不含攻击细节）
这枚钱包最早在 2026 年 6 月 23 日被纳入取证数据集，当时它静静地躺在 `fake.czb.com` 的 DOGE 目录下，文件名直白地写着“MEGA-BONUS”和“9,491,327”，暗示持有人自己都记下了这笔不小的余额。

我们首先对它做了静态体检：确认是 Bitcoin Legacy 系的 BDB 格式文件，体积不大（约 112 KB），说明内部密钥记录不多，结构相对简单。随后我们拉取了链上交易流水，发现一个非常干净的模式——**只进不出**：50 笔历史转入，0 笔转出，最近一笔收入停在 2026 年 4 月 28 日，之后再无动静。

这让我们初步判断：该钱包很可能是一个“归集/存储型”地址，而非日常支付钱包。但干净的交易史也意味着——**没有转出记录可供我们反推地址关联或校验密码正确性**，只能依赖钱包文件本身的加密结构来尝试解锁。

目前我们停留在“已识别、已解析、未解锁”的阶段：文件结构清楚了，余额对得上，但密码验证环节没有成功记录。换句话说，我们手里有一把锁得很好的保险箱，知道里面有多少钱，但还没拿到钥匙。

### 4. 交易活动解读（严格区分转入/转出；无数据就写未知）
- **转入（receive）**：共 50 笔，最后一笔发生在 2026-04-28 23:18:59。近 30 天无新增转入。
- **转出（send）**：**0 笔**。最后转出时间：未知（因无转出记录，系统无此字段）。
- **活跃度判断**：交易跨度长达 4376 天，但近期完全静默，属于“历史活跃、近期休眠”的地址。
- **注意**：以上仅基于 `direction` 统计字段，不推断任何具体交易对手或资金用途。

### 5. 破解状态说明（区分“余额为0的业务标注”与“是否拿到明文密码”）
- **业务余额标注**：该钱包余额约 949 万 DOGE，业务侧标注“余额很小（≤阈值）”为**否**——即这不是一个被系统判定为“空壳/低价值”而放弃的钱包。
- **明文密码状态**：`cracked_password/actual_password = 否`，即**尚未拿到明文密码**，也没有任何“验证成功”的证据。所有关于“已破解”的说法目前均不成立。

### 6. 下一步最值得补充的线索（最多 8 条，按优先级）
1. **钱包文件来源上下文**：`fake.czb.com` 数据集对应的业务场景、导入批次说明，判断是否为批量生成的“诱饵/蜜罐”钱包。
2. **文件名中的数字“9,491,327”**：是否与余额、创建日期、或其他业务编号有关联（仅作线索，不作猜测依据）。
3. **同目录其他钱包文件**：对比同批次 DOGE 钱包的结构差异，判断是否存在通用口令模式（需合规授权）。
4. **钱包创建时间戳**：从 BDB 文件内部提取 `mtime/ctime`，与首笔转入时间（约 12 年前）做交叉验证。
5. **历史转出记录缺失的原因**：确认链上是否真的从未转出，还是数据同步不完整（需重新拉取全量交易）。
6. **钱包所有者的备注信息**：若数据集包含用户备注、工单记录，查找“MEGA-BONUS”关键词。
7. **内存转储或进程残留**：若该钱包曾在在线环境中打开过，是否有系统内存镜像可做凭证提取（需明确授权）。
8. **密码策略提示**：若该数据集来自已知业务系统，调取该系统的密码复杂度规则与历史重置记录。

### 7. 已尝试方向回顾（避免重复投入）
- **静态结构解析**：已完成，确认为 Bitcoin Legacy BDB 格式，文件可正常读取，无损坏。
- **链上交易梳理**：已完成，确认 50 笔转入、0 笔转出，时间跨度与静默期已明确。
- **密码验证尝试**：已进行过一轮测试，但**未成功**（依据 `cracked_password=否`），具体尝试方式不在此展开。
- **业务标注排查**：已确认该钱包未被标记为“低价值/余额为0”，排除因业务放弃而停止投入的可能。
- **不建议重复**：无需再次做全量文件扫描或重复跑同一套字典；下一步应优先补充外部线索（如来源上下文、同批样本），而非在单一文件上反复尝试。