Bitcoin Forum

Hey Leute,

ich wurde von einem neuen User kontaktiert und um Hilfe gebeten.
Da er kein Forenmensch ist möchte er das Thema gerne über mich spielen.

Grundsätzlich kein Problem aber ich möchte das gern von Beginn an mit euch durchbesprechen. 1. kann er so mitlesen und 2. bin ich auch nicht weit genug in der Materie.

Es gibt eine Datei im octet-stream Format (https://forum.chip.de/discussion/721150/application-octet-stream) was ja grundsätzlich leider nicht wirklich etwas aussagt. Sie ist von 2016, 2017 oder 2018 und sollte von der Bezeichnung her einem Backup (vermutlich wallet.dat?) entsprechen.

Da sie ohne Dateiendung auf dem Google Drive rumgelegen ist habe ich sie umbenannt und es gibt solche Zeichenketten:
https://abload.de/img/unbenannt2zjl9.png
Insgesamt sind es nur 33kb mit ~110 solcher Zeilen.

Wie kann man am einfachsten rausfinden welche Datei das in Wirklichkeit ist? Backup von Electrum? Oder doch Bitcoin-QT? Ich würde mich freuen wenn wir dem User helfen können und die 0,01 BTC restored bekommen :)

Also  octet Bezeichnet als erstes mal nur das 8 Bit (Oktett) verwendet wird.
Das heißt der der Wertebereich Umfaßt 0-255 =256.
Dein Ausschnitt enthält aber nur Druckbare Character (ASCII) also schon mal weniger als 256 Zeichen.
https://de.wikipedia.org/wiki/American_Standard_Code_for_Information_Interchange

Damit kann also alles mögliche gemacht worden sein.
Am einfachsten wird es sein sich alle möglichen Wallets aus der Zeit zu Installieren und ein Backup zu Erzeugen.
1. weiß man dann die extension und 2. wie das im Fileformat Aussieht.
Danach kann man die Google Datei entsprechend Umbenennen und probieren zu Importieren.
Das ist sicher eine Menge Arbeit, aber besser als die Satoshis zu begraben.

Viel Erfolg

EDIT:
/ könte ein Trennzeichen sein, ohne vollständige Datei ist aber erstmal keine Analyse möglich

Danke schon Mal für die erste Rückmeldung :)
Das war letzte Woche mein Gedanke Nummer 1 und es wurde bereits versucht Electrum und auch Bitcoin Core einzurichten und das die bestehende Wallet.dat danach mit dieser hier zu ersetzen. Das hat in beiden Fällen nicht funktioniert - also entweder falsches Programm oder ggf. auch Datei beschädigt/korrupt.

Es könte auch ein Dump der Private Keys sein, ich Probiere das heute Abend mal an  meinem Testnet Wallet (Core) aus.
Ich berichte dann mal, wie das Aussehen würde.
Aber in jedem Fall BTC-Addresse und Private key dazu, mit Trennzeichen. ;)
Und evtl. eine ROT13 dazu  :D
https://de.wikipedia.org/wiki/Rot13

Super danke dir!
Es gab anscheinend mal den falls dass sich Dateien beim Up- bzw. Download verändert/zerschossen haben aber davon gehen wir hier nicht aus. Der Besitzer der Wallet (was es hoffentlich ist) ist sich auch ziemlich sicher die Datei nur zu Analysezwecken geöffnet zu haben... also es gab keine Manipulation am Inhalt.

Kleines Rätsel zu Wochenbeginn damit uns nicht langweilig wird.
Mich würde es (auch wenn ich persönlich nichts davon habe) riesig freuen wenn wir das Problem gemeinsam (für ihn) gelöst bekommen :)

Was hatte die Datei für einen Namen?
Besitzt die Datei irgendwelche Header oder Footer? (z.B. linux-tool file drauf anwenden)
Metadaten vorhanden? (Linux tool exiftool kann helfen)

Der Dateiname war sebst vergeben und wird leider nicht viel helfen: "Bitcoin Wallet Sicherung neustes" - Ohne Dateiendung.
Und da ich kein Linux bei der Hand habe kann ich gerne versuchen ein Windows (10) Tool dafür zu finden.
Ich nehme die Entscheidung aber auch auf meine Kappe und würde die Datei (für die Mitleser: auch wenn man das im Normalfall nie machen sollte!) direkt per Mail an vertrauenswürdige User hier weiterleiten für eine Analyse davon. Also falls jemand Zeit + Lust hat gerne Bescheid geben :)

Als erstes würde ich diese Datei mal mit einem Hex-Editor öffnen. Da ergeben sich vielleicht auch Hinweise auf das Format.

Ich habe mir XVI32 portable (http://www.chmaas.handshake.de/delphi/freeware/xvi32/xvi32.htm#download) organisiert und die Datei geöffnet. Viel mehr Infos habe ich (bisher) aber leider nicht für euch.

Also wie gesagt ich habe die Datei hier und würde sie (sehr gern) für eine tiefere Analyse weitergeben um hier für den betroffenen User ans Ziel der BTC-Rettung zu kommen. Folge aber auch gerne euren Ideen/Anleitungen wenn ihr etwas für mich habt.

Hast Du TrIDNet mal getestet, ist auch portable.

https://tridnet.de.uptodown.com/windows (https://tridnet.de.uptodown.com/windows)

Nur ganz kurz,  da ich zur Zeit mobil bin und eine mobile Ansicht echt wünschenswert wäre ::)

Das könnte eine ziemlich große Baustelle werden, falls sich mein Verdacht bestätigt. Kann der User sich daran erinnern ob er damals ein Passworts für die Wallet genutzt hat und falls ja, ist Ihm dieses noch bekannt?
Schau mal bitte ob die Datei am Beginn mit der Zeichenkette  "U2F" startet. Das ganze schaut mir nach einem verschlüsselten Key File einer Multibit Wallet aus, welche damals^tm ziemlich verbreitet war bevor immer mehr (Zugriffs-) Probleme damit auftraten.

Nein hatte ich bisher nicht. Kann ich aber jederzeit machen wenn es hilft :)

---

Treffer - die ersten 3 Zeichen der Datei: U2F
Ich werde nachfragen ob es eine Idee zu den Kennwörtern gibt.
Das heißt man wird das Ding (mit passendem Kennwort) + Multibit laufend bekommen um dann z.B. so (https://bitcoin.stackexchange.com/questions/18299/getting-keys-from-multibit-to-export-for-electrum) auf Electrum zu wechseln.

Zumindestens sollte dies im positiv gedachten Fall genau so sein. Leider gab es mit Multibit und Multibit HD sehr viele Probleme mit korrupten Files oder das trotz aller korrekten Daten die Wallets nicht entschlüsselt wurden. Das wäre dann die besagte größere Baustelle, aber davon gehe ich jetzt mal noch nicht aus. Theoretisch müsste ich sogar Multibit sogar noch auf einem Testrechner installiert haben und auch die Installationsfiles könnten noch irgendwo auf einer HDD liegen, falls es keine vertrauensvollen Downloadquellen. mehr geben sollte. Müsste ich mich bei Bedarf abends mal hinsetzen und in Ruhe schauen.

Hast dir den 400er Merit verdient 8)
Danke für die Hilfe! Also wenn du eine funktionierende Multibit Umgebung hast wäre es einen Versuch wert die wallet.dat die ich hier habe einzulesen um zu versuchen ob tatsächlich die Passwortabfrage kommt. Dann wüssten wir zumindest ob die Datei in Ordnung ist.

Als DL-Quelle hätte ich sonst diese hier gefunden: https://crypto-wallets.org/multibit-wallet-download-bitcoin-wallet-for-windows/?lang=en
Aber wie du schon sagst sind diese Wallets sehr anfällig für div. Probleme gewesen. Wenn man da nachliest gibt es verschiedenste Probleme: https://bitcoin.stackexchange.com/questions/53517/multibit-hd-wallet-cannot-open-or-restore-i-have-password-and-secret-words

//edit: Gibt ja auch Tools um die Daten zu extrahieren da die Software wohl so richtig schlimm/alt ist. Wird ohne Kennwort aber nicht so wirklich klappen. Naja zuerst Mal rausfinden ob die Datei überhaupt unversehrt ist: https://github.com/Multibit-Legacy/read-multibit-wallet-file

Danke für die Merits, so schaffe ich es bestimmt wieder in die Top10 der monatlichen Auswertung ;D
So hab fix geschaut. Multibit HD ist noch installiert, aber dürfte uns in diesem Fall nicht weiter bringen da dort die Backupdatein völlig umsonst sind  >:( viel größer sind und ein anderes Format haben. Für Multibit Classic habe ich noch einen Windows x64 Installer der Version 0.5.19 auf der HDD gefunden.

Die Software ist so schlimm, das ich damals mit Noob Kenntnissen über mehrere Tag/Wochen gezwungen war mich intensivst mit der ganzen Materie rund um Seed/Mnemonic Code/Keys/Derivation-Path zu beschäftigen um meine Coins zu retten. Die Lernkurve ist extrem hoch  ;D Also man kann auch gutes über diese Wallet sagen ;)

Das verlinkte Tool gab es damals noch nicht. Klingt aber eigentlich auch ganz gut, wenn der User das Passwort kennt.

Danke für den Test. Leider habe ich kein Kennwort und der betroffene User keine (zu wenig) Erfahrung in dieser Thematik. Hat jemand von euch die Möglichkeit diese vermutlich Multibit-Wallet.dat einzulesen und zu prüfen ob es zu einer Kennwortabfrage kommt?

Wenn das so ist könnten wir dem User eine Anleitung zusammenstellen wie er es auf seinem Client inkl. seiner Passwortliste (aus dem Kopf) durchgehen kann. Eine andere Möglichkeit zur Hilfe wüsste sonst aktuell nicht.

Da ich wie bereits geschrieben, noch eine Installationsdatei für Multibit Classsic auf dem Rechner gefunden habe, könnt ich diese installieren und diese Schlüssel-Export Datei versuchen einzulesen um zumindest zu prüfen ob diese akzeptiert wird. Vom Aufbau her dürfte es sich um einen kennwortgeschützen Adressen-/Schlüsselexport handeln und nicht um eine Sicherung der Wallet.dat aus dem User Ordner. Daher dürfte auch das oben verlinkte Tool nur bedingt hilfreich sein.

Damit du die Datei nicht aus der Hand geben musst, kann ich dir die Installationsdatei der Wallet auch gern zusenden.

Betreffs des Passwortes, gibt es wohl auch ein Script (https://github.com/gurnec/btcrecover) welches mit Multibit Datein umgehen kann und mittels Bruteforce versucht diese zu entschlüsseln, aber dafür sollten wenigsten ein paar Passwortideen und Variationsmöglichkeiten, welche damals vom User überlicherweise genutzt wurden, vorhanden sein.

Du kannst dem User auch diesen Link (https://bitzuma.com/posts/a-complete-guide-to-the-multibit-bitcoin-wallet/) zukommen lassen, vielleicht erkennt er an den Bildern ob es diese Wallet damals war mit welcher er gearbeitet hat.

Danke nochmal -doubleU-!
Da ich keine passende Umgebung bei der Hand habe würde ich sehr gerne auf das Angebot von dir zurück kommen. Schick mir doch bitte deine Mailadresse rüber und ich leite dir dann das Backup weiter. Sieht auch mMn. eher nach Key als Wallet aus. Ein Check ob die Datei gut oder korrupt ist wäre schon eine große Hilfe :)

Danach können wir wegen Bruteforce oder händischen Versuchen überlegen.

Schick ich dir gleich per PN

Hab grad Multibit Classic installiert und mal Testweise einen Export mit Passwort und einen Export ohne Passwort erstellt.
Hier mal die Ergebnisse, vielleicht hat ja irgend jemand hier eine Idee wie die Verschlüsselung funktioniert, aber ich befürchte das wir ohne Passwortideen nicht weiter kommen werden.



Das hier im Beispiel verwendete Passwort war "test"

Das Format sieht ja schon mal sehr ähnlich aus, du dürftest also vollkommen recht haben und es wird sich um einen verschlüsselten Export handeln. Wenn ja, sind wir hier so oder so auf die Passwortliste angewiesen, brute-forcen (also alle möglichen Passwörter auszuprobieren) braucht man hier aufwandstechnisch gar nicht versuchen.

Die Datei ist an -doubleU- übermittelt und ab sofort geht es wieder hier im Thread weiter mit dem Thema.
Beim betroffenen User habe ich bzgl. dem Kennwort angefragt. Also entweder er hat die Liste der in Frage kommenden Wörter (sind ohne Groß-/Kleinschreibung und Sonderzeichen) bei der Hand oder wir werden ihm nach einem Check ob die Datei in Ordnung ist das Multibit Setup zukommen lassen und er ist dann selber für die Entschlüsselung verantwortlich.


Wie du schon sagst wird das die einzige Möglichkeit sein. Es gibt zwar verschiedene Bruteforce Tools für diese Multibit-Key-Backups aber ob sowas tatsächlich klappt? Keine Ahnung und möchte es auch nicht rausfinden müssen.

Ganz generell ist Multibit eine sehr spezielles Programm wenn man sich so durchliest welche Threads es dazu bereits gab :-X
Multibit öffnet nicht Wallet (https://bitcointalk.org/index.php?topic=4547962.0)
Help recovering old Multibit wallet (https://bitcointalk.org/index.php?topic=2312651.0)
Can i still recover funds from Multibit classic wallet (https://bitcointalk.org/index.php?topic=3137028.0)
Trouble recovering Multibit Classic Keys (https://bitcointalk.org/index.php?topic=1942459.00)
Recovering Multibit Wallet (https://bitcointalk.org/index.php?topic=2312850.0)
Multibit old wallet restore (https://bitcointalk.org/index.php?topic=5315403.0)
Recovered a legacy Multibit wallet - now what? (https://bitcointalk.org/index.php?topic=2861069.0)
Recover MultiBit Wallet password. 0.5 BTC bounty ! (https://bitcointalk.org/index.php?topic=1236025.0)

Wie angekündigt habe ich die Datei von mole0815 per email erhalten und habe versucht diese in Multibit Classic als KEY Import einzulesen.

Zunächst benötigte die Datei die Dateiendung .key  (warum auch immer diese ohne Dateiendung beim User lag, vielleicht Absicht um die Herkunft zu verschleiern ???)
Anschliesend wurde die Datei als verschlüsseltes File erkannt und das ausgegraute Feld für die Passworteingabe war verfügbar.
Da ich natürlich kein Passwort kenne, habe ich das Feld leer gelassen und auch verschiedene Zeichenketten eingegeben. Die Fehlermeldung ist immer die selbe.
Die selbe Fehlermeldung kommt auch, wenn ich die von mir gestern angelegte verschlüsselte Exportdatei mit einem falschen Passwort freischalten will. Das Feld "Anzahl der Schlüssel" ist auch erst nach Eingabe des korrekten Passwortes sichtbar.
Daher schaut es bisher eigentlich ganz gut aus, so das nur noch mögliche Passwörter probiert werden müssten.

https://i.ibb.co/S66Y4Nf/Multibit.jpg (https://ibb.co/XWW0rXY)

@mole0815
Hat der betroffene User schon mal geschaut ob er im AppData Ordner seines Rechners eventuell noch die Wallet Datei liegen hat? Mit etwas Glück hat er die Wallet nicht mit einem Passwort geschützt gehabt, da dies eine optional Funktion von Multibit Classic war.

Vielen Dank nochmal an dieser Stelle!
Ich habe nachgefragt ob es noch der gleiche Client ist und daher die Möglichkeit besteht andere Multibit Daten zu finden und ob es eine Idee zu Kennwort gibt. Sage Bescheid sobald es News gibt.

Und wenn das nicht klappt werde ich dieses Angebot von Dave testen: Bitcoin Wallet Recovery Services - for forgotten wallet password (https://bitcointalk.org/index.php?topic=240779.0)
1. Gibt es nichts zu verlieren und 2. stehen die Chancen auch für Multibit wallet/key File gut wenn man den Thread so durchliest.

Aber das ist die Notlösung wenn es keine passenden Kennwörter gibt die wir durchtesten können.

Gab es zu diesem Problem inzwischen ein positives Ende oder hast du schlussendlich bereits den Bitcoin Wallet Recovery Services von Dave in Anspruch nehmen müssen? Selbst wenn es gar keine Ansätze zum Passwort gibt, wäre dies im Notfall definitiv einen Versuch wert wie die letzten Einträge in seinem Thread zeigen. Wenn ich noch irgendwie helfen kann gib bitte nochmals Bescheid, ansonsten werde ich Datei zum Ende des Monats löschen.

Danke der Nachfrage. Leider wollte der User dieses Wallet Recovery Service nicht in Anspruch nehmen (da zu unsicher?).
Ich hätte lieber die Chance genutzt über dieses Service an 80% meiner Funds zu kommen als alles zu verlieren aber das war nicht meine Entscheidung.
Danke für deine Mithilfe -doubleU- und die Datei kannst du löschen. Ich habe länger nichts von dem User gehört und das Thema daher auch schon gedanklich abgehakt.

Ich hätte in aller letzter Instanz diese Chance auch noch genutzt, aber wie du schon sagtest ist dies ja nicht unser Entscheidung. Vielleicht hat unsere Recherche ja trotzdem am Ende noch einen Erfolg, der User weiß zumindest wie er ggfl. nochmals probieren kann an seine Coins zu kommen. Die Datei, welche du mir zugeschickt hattest, werde ich heute noch löschen, damit ist das Thema für mich auch abgehakt.

Solltest du oder jemand anderes jemals wieder eine alte Multibit Classic Installationsdatei benötigen, diese werde ich gut sichern, denn im Netz findet man da nicht mehr wirklich viel. Bei Bedarf einfach melden.