Recuperato un wallet.dat di Bitcoin Core eliminato

All'inizio sembrava un vicolo cieco: il file del portafoglio era stato cancellato dal computer e poi svuotato dal cestino. Due posti, e in nessuno dei due restava qualcosa. Il cliente aveva ancora il contesto dell'account e sapeva più o meno quando era avvenuta la cancellazione. Quel momento si è rivelato più importante di ogni altra cosa.

Cancellare un file non lo elimina

Quando cancella un file, il sistema operativo rimuove la voce di directory che punta ad esso e segna i suoi blocchi come disponibili. Non va a ripulirli. Su un disco rigido tradizionale i dati restano fisicamente presenti, come orientamento magnetico sui piatti, finché qualcos'altro non li sovrascrive.

È esattamente la finestra in cui il recupero funziona, e si chiude man mano che il disco viene usato. Ogni download, ogni aggiornamento, ogni file temporaneo è un'occasione per il sistema di riutilizzare proprio i blocchi che il portafoglio occupava.

Questo disco era stato usato pochissimo dopo la cancellazione. È la ragione per cui il caso è andato a buon fine.

L'eccezione degli SSD, detta onestamente

Il quadro è molto diverso sugli SSD moderni, e descrivere questo caso senza dirlo sarebbe disonesto.

Quando un file viene cancellato su un SSD, il sistema operativo emette di norma un comando TRIM che comunica al controller che quei blocchi non sono più in uso. La garbage collection in background cancella poi le celle NAND sottostanti. Una volta avvenuto, il recupero diventa difficile o impossibile: l'esito preciso dipende dal firmware del disco, ma non è qualcosa su cui contare.

TRIM non è nemmeno universale. Richiede che il disco lo supporti e che il sistema operativo lo richieda, e le lacune sono reali: Windows non emette TRIM su volumi FAT32 ed exFAT, la maggior parte dei controller RAID hardware non lo inoltra, molti dischi esterni via USB non lo ricevono mai e gli SSD precedenti al comando lo ignorano del tutto. Un portafoglio su uno di questi supporti può essere ancora recuperabile.

Sono eccezioni da verificare, non su cui fare affidamento.

La regola pratica resta la stessa in entrambi i casi, ed è urgente: smetta di usare il dispositivo nel momento in cui si accorge della cancellazione. Soprattutto, non installi software di recupero sul disco interessato: già solo questo può sovrascrivere ciò che sta cercando di salvare.

Che cosa abbiamo fatto

Abbiamo prima creato un'immagine del disco, per congelarne lo stato e garantire che nulla di ciò che avremmo fatto potesse peggiorare la situazione. Tutto il lavoro successivo è avvenuto su quell'immagine; l'originale non è mai stato scritto.

Dall'immagine abbiamo estratto tramite carving il wallet.dat cancellato dallo spazio non allocato. Un portafoglio Bitcoin Core classico è un file Berkeley DB con una struttura riconoscibile, ed è proprio questo a renderlo identificabile tra blocchi grezzi invece che una sequenza anonima di byte. (I più recenti portafogli descriptor usano SQLite, impostazione predefinita da Bitcoin Core v23: struttura diversa, stesso principio.)

Con il file ricostruito, ripristinare l'accesso è stata ordinaria amministrazione.

Che cosa avrebbe reso impossibile questo caso

• Un uso intenso e continuato del disco. Qualche giorno di normale utilizzo dopo una cancellazione di solito chiude il caso.
• Un SSD che avesse già applicato TRIM ai blocchi. Il recupero allora non è più lento: è finito.
• Eseguire strumenti di recupero sul disco interessato. Il modo più comune in cui le persone distruggono da sole i propri dati recuperabili.
• Una formattazione completa (non rapida), o un disco cifrato da allora.

Che cosa significa se si trova nella stessa situazione

Spenga la macchina. Non «dia un'occhiata veloce». Non installi nulla. Se il portafoglio contava, il disco ora è una prova, e il primo passo corretto è preservarlo, non esaminarlo.

Preservare batte qualsiasi strumento di recupero. Veda il riferimento su sicurezza e forense e la guida ai formati di portafoglio.