Recuperado un wallet.dat de Bitcoin Core eliminado

Al principio parecía un callejón sin salida: el archivo de la cartera se había borrado del ordenador y luego vaciado de la papelera. Dos sitios, y en ninguno quedaba nada. El cliente conservaba el contexto de la cuenta y sabía aproximadamente cuándo se había producido el borrado. Ese momento acabó importando más que ninguna otra cosa.

Borrar un archivo no lo destruye

Cuando borra un archivo, el sistema operativo elimina la entrada de directorio que apunta a él y marca sus bloques como disponibles. No va a limpiarlos. En un disco duro tradicional los datos siguen físicamente presentes, como orientación magnética en los platos, hasta que algo los sobrescribe.

Esa es exactamente la ventana en la que funciona la recuperación, y se cierra a medida que el disco se usa. Cada descarga, cada actualización, cada archivo temporal es una oportunidad para que el sistema reutilice justo los bloques que ocupaba su cartera.

Este disco se había usado muy poco desde el borrado. Esa es la razón de que el caso saliera bien.

La excepción de los SSD, dicha con honestidad

El panorama es muy distinto en los SSD modernos, y describir este caso sin decirlo sería deshonesto.

Cuando se borra un archivo en un SSD, el sistema operativo suele emitir una orden TRIM que informa al controlador de que esos bloques ya no están en uso. La recolección de basura en segundo plano borra después las celdas NAND subyacentes. Una vez ocurrido eso, la recuperación se vuelve difícil o imposible; el resultado exacto depende del firmware del disco, pero no es algo con lo que contar.

TRIM tampoco es universal. Requiere que el disco lo admita y que el sistema operativo lo solicite, y hay huecos reales: Windows no emite TRIM en volúmenes FAT32 ni exFAT, la mayoría de controladoras RAID por hardware no lo transmiten, muchos discos externos por USB no lo reciben nunca y los SSD anteriores a la orden simplemente la ignoran. Una cartera en cualquiera de esos soportes todavía puede ser recuperable.

Son excepciones que conviene comprobar, no en las que conviene confiar.

La regla práctica es la misma en ambos casos, y es urgente: deje de usar el dispositivo en el momento en que detecte el borrado. Y sobre todo, no instale software de recuperación en el disco afectado: eso solo ya puede sobrescribir lo que intenta salvar.

Qué hicimos

Primero creamos una imagen del disco, para congelar su estado y garantizar que nada de lo que hiciéramos pudiera empeorar la situación. Todo el trabajo posterior se hizo sobre esa imagen; el original nunca se escribió.

De la imagen extrajimos por carving el wallet.dat borrado del espacio no asignado. Una cartera Bitcoin Core clásica es un archivo Berkeley DB con una estructura reconocible, y eso es justamente lo que la hace identificable entre bloques en bruto en lugar de una secuencia anónima de bytes. (Las carteras descriptor más recientes usan SQLite, el valor por defecto desde Bitcoin Core v23: otra estructura, el mismo principio.)

Con el archivo reconstruido, restaurar el acceso fue rutina.

Qué habría hecho imposible este caso

• Un uso intenso y continuado del disco. Unos días de uso normal tras un borrado suelen dar el caso por terminado.
• Un SSD que ya hubiera aplicado TRIM a los bloques. La recuperación entonces no es más lenta: se acabó.
• Ejecutar herramientas de recuperación en el disco afectado. La forma más común en que la gente destruye sus propios datos recuperables.
• Un formateo completo (no rápido), o un disco cifrado desde entonces.

Qué significa esto si está en la misma situación

Apague el equipo. No «eche un vistazo rápido». No instale nada. Si la cartera importaba, el disco es ahora una prueba, y el primer paso correcto es preservarlo, no investigarlo.

Preservar gana a cualquier herramienta de recuperación. Consulte la referencia de seguridad y forense y la guía de formatos de cartera.