Zablokowany przez lata portfel Bitcoin: odzyskanie hasła MultiBit Classic

W grudniu 2023 przyszedł e-mail: klient zablokowany poza portfelem MultiBit Classic utworzonym w 2013 roku, po latach nieudanych prób z hasłem. MultiBit został wycofany w lipcu 2017 roku, więc nie było wsparcia producenta ani oficjalnego oprogramowania, na które można by się cofnąć. Zostały oryginalny plik portfela i pamięć klienta o tym, jak budowano wtedy hasła: słowa, lata, przyzwyczajenia.

Dlaczego stare portfele nie są automatycznie łatwiejsze

Panuje przekonanie, że portfel z 2013 roku musi używać słabego, szybko łamanego szyfrowania. Nie to zastaliśmy i warto to sprostować.

MultiBit Classic zbudowano na bitcoinj, który nie bierze hasła użytkownika, nie skraca go i nie używa wprost: przepuszcza je przez scrypt, żeby wyprowadzić klucz AES. Scrypt jest funkcją wymagającą pamięci, zaprojektowaną właśnie po to, by ataki równoległe były kosztowne — dokumentacja bitcoinj opisuje go rzeczowo jako trudniejszy do atakowania z dużą prędkością niż alternatywne algorytmy i zaleca parametry takie, by zamiana hasła na klucz zajmowała odczuwalny czas na komputerze użytkownika.

Praktyczny skutek jest odwrotny do oczekiwań: rzucanie sprzętem w portfel MultiBit działa słabo. Tam gdzie szybka funkcja skrótu pozwala karcie graficznej testować miliardy kandydatów na sekundę, wymóg pamięciowy scrypta ten atut niweczy. Jeśli każda próba kosztuje zauważalny ułamek sekundy, milion kandydatów to nie przerwa na kawę, tylko tygodnie.

Sprawy nigdy nie dało się więc wygrać sprzętem. Trzeba ją było wygrać na liście kandydatów.

Co ją naprawdę rozwiązało

Hasło miało około piętnastu znaków, z wielkimi literami, symbolami i pozornie przypadkowym materiałem. Bez dodatkowych danych powstaje znacznie większa przestrzeń kandydatów; plik i cała sprawa nadal wymagają oceny.

Pamięć klienta zmieniła arytmetykę. Hasła rzadko są losowe, nawet gdy tak wyglądają: powstają z rdzenia, który potem się ozdabia. Odtworzyliśmy, jak ten klient budował wtedy hasła — jakie słowa, jakie podstawienia, jakie lata, gdzie zwykle lądowały wielkie litery i symbole.

Wtedy odnalazł się przeoczony notes z pięcioma wariantami zbudowanymi na tym samym rdzeniu. To był punkt zwrotny. Pięć rzeczywistych przykładów czyichś nawyków warte jest więcej niż dowolna moc obliczeniowa, bo zamieniają otwarte poszukiwanie w uporządkowane: znany rdzeń, znany styl ozdabiania i ograniczony zbiór wariantów wokół niego.

Generowanie kandydatów działało offline na kopii pliku, na podstawie pisemnej umowy. Przywrócono dostęp do portfela z bitcoinem wartym wówczas grubo powyżej sześciu cyfr. Klient był zablokowany na długo przedtem, zanim ta wartość uczyniła sprawę bolesną.

Co uczyniłoby tę sprawę niemożliwą

• Brak pliku portfela. Odzyskiwanie hasła potrzebuje czegoś, względem czego można testować. Zapamiętane hasło bez pliku to nie sprawa.
• Plik „naprawiony”. Dobre intencje przy naprawianiu lub konwertowaniu starego portfela często niszczą właśnie tę strukturę, na której opiera się odzyskiwanie.

Co to oznacza w podobnej sytuacji

Papieru trzeba szukać wcześniej niż narzędzia. Stare notesy, porzucony menedżer haseł, szuflada z karteczkami, ostatnia strona kalendarza — wszystko, co pokazuje, jak powstawały wtedy hasła, jest cenniejsze niż domysły, które jeszcze Państwo pamiętają. Plik portfela należy skopiować w bezpieczne miejsce; na oryginale nie wolno eksperymentować.

Stary plik portfela wystarcza, aby poprosić o ocenę; wiarygodne zapamiętane szczegóły mogą ukierunkować poszukiwania. Więcej w historii starych portfeli i materiale o odzyskiwaniu haseł.