Przywrócono frazę odzyskiwania Trezor z 22 z 24 słów

Karta z kopią zapasową leżała bezpiecznie przez lata — a papier, przechowywany dostatecznie długo, nie zostaje czytelny. Kiedy klient wreszcie potrzebował Trezora, dwa z 24 słów wyblakły całkowicie. Zostały dwadzieścia dwa słowa i wskazówki co do pozycji. Żadnego urządzenia. Żadnej innej kopii.

To, co wyglądało na ścianę, było w istocie problemem ograniczonym. Warto zrozumieć dlaczego, bo właśnie od tego zależy, czy taka sprawa w ogóle jest warta próby.

Dlaczego dwa brakujące słowa to nie problem brute force

Fraza BIP-39 nie jest hasłem. To ustrukturyzowane zakodowanie entropii i właśnie ta struktura ratuje sprawę.

Fraza 24-wyrazowa koduje 256 bitów entropii plus 8-bitową sumę kontrolną: łącznie 264 bity, podzielone na 24 grupy po 11 bitów, z których każda wskazuje jedno słowo ze stałej listy dokładnie 2048 słów. Suma kontrolna to pierwsze 8 bitów skrótu SHA-256 z entropii.

Ten ostatni szczegół rozstrzyga całą sprawę. Oznacza, że 255 na każde 256 fraz kandydujących jest nieprawidłowych i można je odrzucić natychmiast — zanim wyprowadzony zostanie choć jeden klucz i zanim cokolwiek dotknie blockchaina.

Gdy obie puste pozycje są znane:

• 2048 × 2048 = 4 194 304 możliwych par słów
• po filtrze sumy kontrolnej zostaje 16 384 poprawnych fraz

Szesnaście tysięcy kandydatów to już nie poszukiwanie, tylko lista. Nawet przy niepewnych pozycjach arytmetyka pozostaje łaskawa: 276 możliwych par pozycji na 24 miejscach daje 1 157 627 904 surowe kombinacje, które suma kontrolna redukuje do około 4,5 miliona poprawnych fraz — nadal całkowicie wykonalne.

Dla porównania: odtworzenie frazy 24-wyrazowej bez żadnego punktu zaczepienia oznacza przeszukanie 2^256 możliwości. Tej liczby nikt nie atakuje brute force. Różnica między „beznadziejne” a „jedno popołudnie” leży wyłącznie w tym, ile z frazy przetrwało.

Co zrobiliśmy

Wygenerowaliśmy kandydatów dla dwóch nieznanych pozycji, przefiltrowaliśmy ich przez sumę kontrolną i wyprowadziliśmy adresy z tych, które przeszły — wszystko offline, na kopii, bez dotykania urządzenia klienta.

Skąd wiedzieliśmy, że to właściwa fraza

Fraza kandydująca, która przechodzi sumę kontrolną, jest poprawna. To nie czyni jej Państwa: każda z tych 16 384 fraz odpowiada gdzieś prawdziwemu portfelowi.

W tej sprawie potwierdziliśmy frazę, wyprowadzając adresy z kandydata i porównując jeden ze znanym adresem właściciela. To zamknęło tę sprawę. Odtworzona fraza dała znany adres odbiorczy klienta — dowód, nie domysł. Odzyskiwanie zakończyło się po około czterech godzinach.

Co wpływa na wykonalność w podobnej sprawie

Podobna sprawa może wymagać zupełnie innego wyszukiwania. Te czynniki wpływają na to, czy pozostałe informacje wystarczą:

• Więcej brakujących słów. Każda dodatkowa luka mnoży przestrzeń przez 2048. Trzy czy cztery brakujące słowa to nadal zbiór ograniczony; powyżej ścianą przestaje być kombinatoryka, a staje się czas wyprowadzania.
• Brak znanego adresu. Znany adres odbiorczy lub zapis transakcji ułatwia weryfikację. Jeśli ich brakuje, baza adresów obsługiwanego blockchaina lub inne użyteczne dane do porównania mogą nadal pozwolić na sprawdzenie kandydatów; trzeba ocenić dostępne informacje.
• Zapomniana passphrase BIP-39. Ten opcjonalny dodatek tworzy inny portfel z tej samej frazy odzyskiwania. Przydatne wskazówki dotyczące zapisu lub struktury pozwalają ocenić możliwość ukierunkowanego wyszukiwania; długa, losowa passphrase bez żadnych wskazówek może być niemożliwa do odzyskania w praktyce.
• Niepewność co do samych słów. „To mogło być garden albo garlic” da się wykorzystać. „Środkowej części w ogóle nie pamiętam” może pozostawiać zbyt wiele możliwości; wykonalność zależy od liczby brakujących słów, ich pozycji i pozostałych wskazówek.

Co to oznacza w takiej samej sytuacji

Proszę nie wyrzucać karty ani nie wpisywać jej na żadnej stronie, żeby ją „sprawdzić”. Proszę policzyć, co naprawdę zostało. Jeśli potrafią Państwo odczytać większość słów i wiedzą mniej więcej, gdzie są luki, najprawdopodobniej trzymają w ręku problem ograniczony, a nie utracony portfel — a najcenniejsze, co można dodatkowo przynieść, to dowolny adres, którego portfel używał.

Mechanizm wyjaśniają materiały o frazie odzyskiwania i standardach seed.