Odzyskano usunięty plik wallet.dat Bitcoin Core

Na początku wyglądało to na ślepy zaułek: plik portfela usunięto z komputera, a potem opróżniono kosz. Dwa miejsca i w żadnym nic nie zostało. Klient miał jeszcze kontekst konta i wiedział mniej więcej, kiedy nastąpiło usunięcie. Ten moment okazał się ważniejszy niż cokolwiek innego.

Usunięcie pliku to nie to samo co jego wymazanie

Przy usuwaniu pliku system operacyjny kasuje wpis katalogowy wskazujący na niego i oznacza jego bloki jako dostępne. Nie idzie ich czyścić. Na klasycznym dysku twardym dane pozostają fizycznie obecne — jako namagnesowanie na talerzach — dopóki coś innego ich nie nadpisze.

To dokładnie okno, w którym działa odzyskiwanie, i zamyka się ono w miarę używania dysku. Każde pobranie, każda aktualizacja, każdy plik tymczasowy to okazja dla systemu, by ponownie wykorzystać właśnie te bloki, które zajmował portfel.

Ten dysk był po usunięciu używany bardzo oszczędnie. To powód, dla którego sprawa się powiodła.

Wyjątek dotyczący SSD, powiedziany uczciwie

Na nowoczesnych dyskach SSD obraz wygląda zupełnie inaczej i opisywanie tej sprawy bez wspomnienia o tym byłoby nieuczciwe.

Gdy plik zostaje usunięty na SSD, system operacyjny zwykle wysyła polecenie TRIM, informujące kontroler, że te bloki nie są już używane. Działające w tle odśmiecanie kasuje następnie leżące pod spodem komórki NAND. Kiedy to nastąpi, odzyskiwanie staje się trudne lub niemożliwe — dokładny wynik zależy od oprogramowania układowego dysku, ale nie jest to coś, na czym można polegać.

TRIM nie jest też uniwersalny. Wymaga, by dysk go obsługiwał i by system operacyjny o niego poprosił, a luki są realne: Windows nie wysyła TRIM na woluminach FAT32 i exFAT, większość sprzętowych kontrolerów RAID go nie przekazuje, wiele dysków zewnętrznych po USB nigdy go nie otrzymuje, a starsze SSD sprzed tego polecenia po prostu je ignorują. Portfel na którymkolwiek z nich może być wciąż do odzyskania.

To wyjątki, które warto sprawdzić, a nie takie, na których warto budować.

Praktyczna zasada pozostaje w obu przypadkach ta sama i jest pilna: prosimy przerwać korzystanie z urządzenia w chwili zauważenia usunięcia. Przede wszystkim nie wolno instalować oprogramowania do odzyskiwania na dotkniętym dysku — samo to może nadpisać dane, które próbują Państwo uratować.

Co zrobiliśmy

Najpierw wykonaliśmy obraz dysku, żeby zamrozić jego stan i zagwarantować, że nic, co robimy, nie pogorszy sytuacji. Cała dalsza praca odbywała się na tym obrazie; na oryginał nigdy nie zapisywano.

Z obrazu wycięliśmy usunięty plik wallet.dat z nieprzydzielonej przestrzeni. Klasyczny portfel Bitcoin Core to plik Berkeley DB o rozpoznawalnej strukturze i właśnie to czyni go możliwym do zidentyfikowania wśród surowych bloków, zamiast być anonimowym ciągiem bajtów. (Nowsze portfele deskryptorowe używają SQLite, domyślnie od Bitcoin Core v23 — inna struktura, ta sama zasada.)

Z odtworzonym plikiem przywrócenie dostępu było rutyną.

Co uczyniłoby tę sprawę niemożliwą

• Dalsze intensywne używanie dysku. Kilka dni normalnej pracy na komputerze po usunięciu zwykle kończy sprawę.
• SSD, który już zastosował TRIM do tych bloków. Odzyskiwanie nie jest wtedy wolniejsze — jest skończone.
• Uruchamianie narzędzi odzyskiwania na dotkniętym dysku. Najczęstszy sposób, w jaki ludzie sami niszczą własne dane możliwe do uratowania.
• Pełne (nie szybkie) formatowanie albo dysk, który został od tego czasu zaszyfrowany.

Co to oznacza w takiej samej sytuacji

Prosimy wyłączyć komputer. Żadnego „zerkania tylko na chwilę”. Niczego nie instalować. Jeśli portfel był ważny, dysk jest od teraz materiałem dowodowym, a właściwym pierwszym krokiem jest go zabezpieczyć, a nie badać.

Zachowanie bije każde narzędzie do odzyskiwania. Warto zobaczyć materiał o bezpieczeństwie i informatyce śledczej oraz przewodnik po formatach portfeli.