Trezor herstelzin hersteld met 22 van de 24 woorden

De back-upkaart lag jarenlang veilig — en papier blijft, lang genoeg bewaard, niet leesbaar. Toen de klant de Trezor uiteindelijk nodig had, waren twee van de 24 woorden volledig vervaagd. Tweeëntwintig woorden en aanwijzingen over de posities bleven over. Geen apparaat. Geen andere back-up.

Wat op een muur leek, was een begrensd probleem. Waarom dat zo is, is de moeite waard om te begrijpen: daar hangt van af of zo'n zaak überhaupt een poging waard is.

Waarom twee ontbrekende woorden geen brute-forceprobleem zijn

Een BIP-39-herstelzin is geen wachtwoord. Het is een gestructureerde codering van entropie, en juist die structuur redt de zaak.

Een herstelzin van 24 woorden codeert 256 bits entropie plus een checksum van 8 bits: samen 264 bits, verdeeld over 24 groepen van 11 bits, die elk één woord kiezen uit een vaste lijst van precies 2.048 woorden. De checksum bestaat uit de eerste 8 bits van de SHA-256-hash van de entropie.

Dat laatste detail bepaalt de hele zaak. Het betekent dat 255 van elke 256 mogelijke herstelzinnen ongeldig zijn en direct kunnen worden verworpen — voordat er één sleutel wordt afgeleid en voordat er iets de blockchain raakt.

Als beide lege posities bekend zijn:

• 2.048 × 2.048 = 4.194.304 mogelijke woordparen
• na het checksumfilter blijven 16.384 geldige herstelzinnen over

Zestienduizend kandidaten is geen zoektocht meer, maar een lijst. Zelfs bij onzekere posities blijft de rekensom vriendelijk: 276 mogelijke positieparen over 24 plekken geeft 1.157.627.904 ruwe combinaties, die de checksum terugbrengt tot ongeveer 4,5 miljoen geldige herstelzinnen — nog altijd goed te doen.

Ter vergelijking: een herstelzin van 24 woorden reconstrueren zonder enig aanknopingspunt betekent 2^256 mogelijkheden doorzoeken. Dat getal valt niemand met brute force aan. Het verschil tussen "kansloos" en "een middag" zit volledig in hoeveel van de herstelzin bewaard is gebleven.

Wat wij hebben gedaan

Wij genereerden de kandidaten voor de twee onbekende posities, filterden ze via de checksum en leidden uit de overgebleven herstelzinnen adressen af — volledig offline, op een kopie, met het apparaat van de klant onaangeroerd.

Hoe wij wisten dat het de juiste herstelzin was

Een mogelijke herstelzin die de checksum doorstaat, is geldig. Daarmee is het nog niet uw herstelzin: elk van die 16.384 herstelzinnen hoort ergens bij een echte wallet.

In deze zaak bevestigden wij de herstelzin door adressen uit een kandidaat af te leiden en er één te vergelijken met het bekende adres van de eigenaar. Dat sloot deze zaak af. De herbouwde herstelzin leverde het bekende ontvangstadres van de klant op — een bewijs, geen vermoeden. Het herstel was na ongeveer vier uur klaar.

Wat de haalbaarheid van een vergelijkbare zaak bepaalt

Een vergelijkbare zaak kan een heel andere zoektocht vergen. Deze factoren bepalen mede of de overgebleven informatie voldoende is:

• Meer ontbrekende woorden. Elke extra lege plek vermenigvuldigt de ruimte met 2.048. Drie of vier ontbrekende woorden is nog begrensd; daarboven wordt niet de combinatoriek de muur, maar de afleidingstijd.
• Geen bekend adres. Een bekend ontvangstadres of transactieoverzicht maakt controle eenvoudiger. Zonder die gegevens kan een adresdatabase voor een ondersteunde blockchain of ander bruikbaar vergelijkingsmateriaal soms nog helpen om kandidaten te controleren; wat er beschikbaar is, moet worden beoordeeld.
• Een vergeten BIP-39-passphrase. Deze optionele toevoeging levert bij dezelfde herstelzin een andere wallet op. Bruikbare aanwijzingen over de schrijfwijze of opbouw kunnen een gerichte zoekactie haalbaar maken; een lange, willekeurige passphrase zonder aanwijzingen kan onhaalbaar zijn.
• Onzekerheid over de woorden zelf. "Het was misschien garden of garlic" is werkbaar. "Van het middenstuk weet ik niets meer" kan te veel mogelijkheden openlaten; de haalbaarheid hangt af van het aantal ontbrekende woorden, hun posities en andere aanwijzingen.

Wat dit voor u betekent in dezelfde situatie

Gooi de kaart niet weg en tik hem niet over op een website om hem te laten "controleren". Tel wat u werkelijk heeft. Kunt u de meeste woorden lezen en weet u ongeveer waar de gaten zitten, dan houdt u waarschijnlijk een begrensd probleem in handen en geen verloren wallet — en het waardevolste dat u daarnaast kunt meebrengen is een adres dat de wallet heeft gebruikt.

Zie de referenties herstelzin en seed-standaarden voor de onderliggende werking.