Verwijderde Bitcoin Core-wallet.dat hersteld

Aanvankelijk leek het een doodlopende weg: het walletbestand was van de computer verwijderd en daarna uit de prullenbak geleegd — twee plekken, op allebei niets meer. De klant had nog de context van het account en wist ongeveer wanneer de verwijdering had plaatsgevonden. Dat tijdstip bleek uiteindelijk belangrijker dan al het andere.

Een bestand verwijderen is niet hetzelfde als wissen

Bij verwijderen haalt het besturingssysteem de mapverwijzing weg die naar het bestand wijst en markeert het de blokken als beschikbaar. Het gaat die blokken niet schoonvegen. Op een klassieke harde schijf blijft de data fysiek aanwezig — als magnetische oriëntatie op de schijven — tot er iets anders overheen wordt geschreven.

Dat is precies het venster waarin herstel werkt, en het sluit naarmate de schijf wordt gebruikt. Elke download, elke update, elk tijdelijk bestand is een kans voor het besturingssysteem om juist de blokken te hergebruiken waar uw wallet stond.

Deze schijf was sinds de verwijdering nauwelijks gebruikt. Dat is de reden dat deze zaak slaagde.

De SSD-uitzondering, eerlijk benoemd

Bij moderne SSD's ligt het beeld heel anders, en deze zaak beschrijven zonder dat te zeggen zou oneerlijk zijn.

Wanneer een bestand op een SSD wordt verwijderd, stuurt het besturingssysteem doorgaans een TRIM-commando dat de controller vertelt dat die blokken niet meer in gebruik zijn. De garbage collection op de achtergrond wist vervolgens de onderliggende NAND-cellen. Is dat gebeurd, dan wordt herstel moeilijk tot onmogelijk — hoe het precies uitpakt hangt af van de firmware van de schijf, maar erop rekenen kunt u niet.

TRIM is bovendien niet universeel. Het vereist dat de schijf het ondersteunt en dat het besturingssysteem erom vraagt, en er zijn echte gaten: Windows stuurt geen TRIM op FAT32- en exFAT-volumes, de meeste hardware-RAID-controllers geven het niet door, veel extern via USB aangesloten schijven ontvangen het nooit, en oudere SSD's van vóór het commando negeren het volledig. Een wallet op zo'n medium kan nog wel degelijk herstelbaar zijn.

Dat zijn uitzonderingen om te controleren, niet om op te bouwen.

De praktische regel blijft in beide gevallen dezelfde, en hij is dringend: stop met het gebruik van het apparaat op het moment dat u de verwijdering opmerkt. Installeer vooral geen herstelsoftware op de betrokken schijf — dat alleen al kan overschrijven wat u probeert te redden.

Wat wij hebben gedaan

Wij hebben de schijf eerst geïmaged, om de toestand te bevriezen en te garanderen dat niets van wat wij deden de zaak kon verslechteren. Al het verdere werk gebeurde op dat image; naar het origineel is nooit geschreven.

Uit het image hebben wij de verwijderde wallet.dat uit de niet-toegewezen ruimte gesneden. Een klassieke Bitcoin Core-wallet is een Berkeley DB-bestand met herkenbare structuur, en juist dat maakt het identificeerbaar tussen ruwe blokken in plaats van een anonieme reeks bytes. (Nieuwere descriptor-wallets gebruiken SQLite, sinds Bitcoin Core v23 de standaard — andere structuur, hetzelfde principe.)

Met het gereconstrueerde bestand was het herstellen van de toegang routine.

Wat deze zaak onmogelijk had gemaakt

• Doorgaand intensief gebruik van de schijf. Een paar dagen normaal computergebruik na een verwijdering beëindigt de zaak meestal.
• Een SSD die de blokken al had getrimd. Herstel is dan niet trager, maar voorbij.
• Herstelsoftware draaien op de betrokken schijf. De meest voorkomende manier waarop mensen hun eigen redbare data vernietigen.
• Een volledige (niet-snelle) formattering, of een schijf die sindsdien is versleuteld.

Wat dit voor u betekent in dezelfde situatie

Zet de machine uit. Ga niet "even kijken". Installeer niets. Als de wallet belangrijk was, is de schijf vanaf nu bewijsmateriaal, en de juiste eerste stap is die veiligstellen in plaats van onderzoeken.

Behouden verslaat elk hersteltool. Zie de referentie veiligheid & forensisch onderzoek en de gids over walletformaten.