Un wallet.dat Bitcoin Core supprimé récupéré

Au départ, cela ressemblait à une impasse : le fichier de portefeuille avait été supprimé de l’ordinateur puis vidé de la corbeille — deux emplacements, et plus rien dans aucun des deux. Le client disposait encore du contexte du compte et savait approximativement quand la suppression avait eu lieu. Ce moment s’est révélé plus important que tout le reste.

Supprimer un fichier ne l’efface pas

Lorsque vous supprimez un fichier, le système d’exploitation retire l’entrée de répertoire qui pointe vers lui et marque ses blocs comme disponibles. Il ne va pas nettoyer ces blocs. Sur un disque dur classique, les données restent physiquement présentes — sous forme d’orientation magnétique sur les plateaux — jusqu’à ce que quelque chose d’autre les recouvre.

C’est exactement la fenêtre dans laquelle la récupération fonctionne, et elle se referme à mesure que le disque est utilisé. Chaque téléchargement, chaque mise à jour, chaque fichier temporaire est une occasion pour le système de réutiliser précisément les blocs qu’occupait votre portefeuille.

Ce disque avait été très peu utilisé depuis la suppression. C’est la raison pour laquelle ce dossier a abouti.

L’exception des SSD, dite honnêtement

Le tableau est très différent sur les SSD modernes, et décrire ce dossier sans le préciser serait malhonnête.

Lorsqu’un fichier est supprimé sur un SSD, le système émet généralement une commande TRIM indiquant au contrôleur que ces blocs ne sont plus utilisés. Le ramasse-miettes en arrière-plan efface ensuite les cellules NAND sous-jacentes. Une fois cela fait, la récupération devient difficile voire impossible — l’issue exacte dépend du micrologiciel du disque, mais mieux vaut ne pas compter dessus.

TRIM n’est en outre pas universel. Il faut que le disque le prenne en charge et que le système le demande, et les exceptions sont réelles : Windows n’émet pas de TRIM sur les volumes FAT32 et exFAT, la plupart des contrôleurs RAID matériels ne le transmettent pas, beaucoup de disques externes en USB ne le reçoivent jamais, et les SSD antérieurs à la commande l’ignorent purement et simplement. Un portefeuille situé sur l’un de ces supports peut encore être récupérable.

Ce sont des exceptions à vérifier, pas des paris à tenir.

La règle pratique reste la même dans les deux cas, et elle est urgente : cessez d’utiliser l’appareil dès l’instant où vous constatez la suppression. N’installez surtout pas de logiciel de récupération sur le disque concerné — cela seul peut écraser ce que vous cherchez à sauver.

Ce que nous avons fait

Nous avons d’abord créé une image du disque, afin de figer son état et de garantir que rien de ce que nous ferions ne pourrait aggraver la situation. Tout le travail s’est ensuite déroulé sur cette image ; l’original n’a jamais été écrit.

Depuis l’image, nous avons extrait par carving le wallet.dat supprimé de l’espace non alloué. Un portefeuille Bitcoin Core classique est un fichier Berkeley DB à la structure reconnaissable, et c’est précisément ce qui le rend identifiable parmi des blocs bruts plutôt qu’une suite anonyme d’octets. (Les portefeuilles descripteurs plus récents utilisent SQLite, valeur par défaut depuis Bitcoin Core v23 — structure différente, principe identique.)

Le fichier reconstruit, le rétablissement de l’accès a relevé de la routine.

Ce qui aurait rendu ce dossier impossible

• Une utilisation intensive et continue du disque. Quelques jours d’usage normal après une suppression mettent généralement fin au dossier.
• Un SSD ayant déjà appliqué TRIM aux blocs. La récupération n’est alors pas plus lente : elle est terminée.
• Exécuter des outils de récupération sur le disque concerné. La façon la plus courante de détruire soi-même ses propres données récupérables.
• Un formatage complet (non rapide), ou un disque chiffré depuis.

Ce que cela signifie si vous êtes dans la même situation

Éteignez la machine. Ne « jetez pas un coup d'œil rapide ». N’installez rien. Si le portefeuille comptait, le disque est désormais une pièce à conviction, et le premier geste correct est de le préserver plutôt que de l’examiner.

La préservation l’emporte sur tous les outils de récupération. Voir la référence sécurité et forensique et le guide des formats de portefeuille.