Frase di recupero Trezor ricostruita con 22 parole su 24

La scheda di backup era rimasta al sicuro per anni, e la carta, se passa abbastanza tempo, non resta leggibile. Quando il cliente ha finalmente avuto bisogno del Trezor, due delle 24 parole erano sbiadite completamente. Restavano ventidue parole e alcuni indizi sulle posizioni. Nessun dispositivo. Nessun altro backup.

Quello che sembrava un muro era in realtà un problema delimitato. Vale la pena capire perché, perché è proprio questo a decidere se un caso del genere meriti un tentativo.

Perché due parole mancanti non sono un problema di forza bruta

Una frase BIP-39 non è una password. È una codifica strutturata di entropia, ed è quella struttura a salvare il caso.

Una frase di 24 parole codifica 256 bit di entropia più un checksum di 8 bit: 264 bit in totale, divisi in 24 gruppi da 11 bit, ciascuno dei quali seleziona una parola da un elenco fisso di esattamente 2.048. Il checksum è costituito dai primi 8 bit dell'hash SHA-256 dell'entropia.

Quest'ultimo dettaglio decide l'intero caso. Significa che 255 frasi candidate su 256 sono invalide e possono essere scartate immediatamente, prima di derivare una sola chiave e prima che qualcosa tocchi la blockchain.

Con entrambe le posizioni vuote note:

• 2.048 × 2.048 = 4.194.304 coppie di parole possibili
• dopo il filtro del checksum restano 16.384 frasi valide

Sedicimila candidati non sono più una ricerca: sono un elenco. Anche con posizioni incerte l'aritmetica resta gentile: 276 possibili coppie di posizioni su 24 caselle danno 1.157.627.904 combinazioni grezze, che il checksum riduce a circa 4,5 milioni di frasi valide, cifra ancora del tutto gestibile.

Per contrasto: ricostruire una frase di 24 parole senza alcun punto di partenza significa attraversare 2^256 possibilità. Quel numero nessuno lo attacca con la forza bruta. La differenza tra «senza speranza» e «un pomeriggio» sta tutta in quanto sopravvive della frase.

Che cosa abbiamo fatto

Abbiamo generato i candidati per le due posizioni ignote, li abbiamo filtrati con il checksum e abbiamo derivato indirizzi dai superstiti: tutto offline, su una copia, senza mai toccare il dispositivo del cliente.

Come abbiamo saputo che era la frase giusta

Una frase candidata che supera il checksum è valida. Questo non la rende Sua: ognuna di quelle 16.384 frasi corrisponde, da qualche parte, a un portafoglio reale.

In questo caso abbiamo confermato la frase derivando indirizzi da un candidato e confrontandone uno con l’indirizzo noto del proprietario. È così che questo caso si è chiuso. La frase ricostruita ha prodotto l'indirizzo di ricezione noto del cliente: una prova, non una deduzione. Il recupero si è concluso in circa quattro ore.

Che cosa influisce sulla fattibilità di un caso simile

Un caso simile può richiedere una ricerca molto diversa. Questi fattori incidono sulla possibilità di lavorare con le informazioni rimaste:

• Più parole mancanti. Ogni lacuna in più moltiplica lo spazio per 2.048. Tre o quattro parole restano un insieme delimitato; oltre, il muro non è più la combinatoria ma il tempo di derivazione.
• Nessun indirizzo noto. Un indirizzo di ricezione noto o uno storico delle transazioni facilita la verifica. In loro assenza, un database di indirizzi di una blockchain supportata o altri dati di confronto possono ancora consentire di verificare i candidati; occorre valutare il materiale disponibile.
• Una passphrase BIP-39 dimenticata. Questa aggiunta facoltativa genera un altro portafoglio dalla stessa frase di recupero. Indizi utili sulla sua scrittura o struttura consentono di valutare una ricerca mirata; una passphrase lunga e casuale senza indizi può rendere il recupero impraticabile.
• Incertezza sulle parole stesse. «Poteva essere garden oppure garlic» è materiale utile. «Della parte centrale non ricordo nulla» può lasciare troppe possibilità: la fattibilità dipende dal numero di parole mancanti, dalle loro posizioni e dagli altri indizi.

Che cosa significa se si trova nella stessa situazione

Non butti la scheda e non la digiti su un sito per «verificarla». Conta quello che ha davvero. Se riesce a leggere la maggior parte delle parole e sa più o meno dove sono le lacune, con ogni probabilità ha tra le mani un problema delimitato e non un portafoglio perduto; e la cosa più preziosa che può portare in più è un qualsiasi indirizzo usato dal portafoglio.

Veda i riferimenti su frase di recupero e standard di seed per il meccanismo sottostante.