Recuperação do wallet.dat... Recupere seus bitcoins perdidos!

[sabotag3x]

Encontrei este tópico do @casascius sobre recuperação de carteiras em HD/SSD que foram formatados, arquivo corrompido ou deletado, etc. e resolvi traduzir, talvez ajude alguém que perdeu BTC..


Você deve utilizar o programa WinHex, ou outro similar, para procurar as chaves privadas em todo HD/SSD..

Você deve procurar por esta sequencia: 01 03 6B 65 79 41 04...........

Os quatro hexadecimais do meio (6B 65 79 41) representam a palavra keyA em ASCII

Cada vez que essa sequencia aparecer, provavelmente há uma chave privada de bitcoin armazenada por perto, cerca de 180 bytes depois. A chave privada de 32 bytes é a única coisa que você precisa para recuperar seus bitcoins! contanto que encontre as chaves corretas*..

Aproximadamente 180 bytes após esta sequência, você pode vir a encontrar a sequencia de bytes 04 20 (hex). Esses dois bytes parecem preceder todas as chaves privadas (o 0x20 sugere um comprimento de 32 bytes). Se você encontrar essa sequencia, os trinta e dois bytes que depois do 04 20 são a chave privada que representa um endereço de bitcoin! Sua carteira terá várias chaves privadas (pelo menos cem, devido à pré-alocação de chaves*).. Salve todas que você conseguir encontrar. Pesquise cuidadosamente os setores adjacentes a qualquer setor que contenha a sequência "keyA" citada acima.

Se usar o WinHex, vá em Tools, Open Disk (F9) e escolha o disco que deseja verificar. O escaneamento de um disco inteiro pode levar horas. O WinHex deve ser executado como administrador para poder verificar tal HD.
Além disso, sempre que estiver analisando um disco em busca de dados potencialmente perdidos, NUNCA de boot no disco que está pesquisando - sempre de boot em outro disco e instale o disco a ser escaneado como secundário.


*O tópico é de 2011, não sei se havia HD wallets na época, apenas as não-determinísticas, nas quais era necessário uma chave privada para cada endereço, hoje as HD wallets conseguem gerar mais endereços com apenas uma chave privadasemente. Também imagino que só existia a carteira do Bitcoin core na época..
Caso alguém tenha conhecimento, poderia falar se o processo é o mesmo para HD wallets (tamanho de bytes, se os 2 primeiros bytes continuam sendo 04 20, etc) e outras além do Bitcoin Core..

Enfim, imagino que profissionais de TI não façam esse procedimento ao tentar recuperar o wallet.dat e talvez seja útil para alguém que perdeu BTC por conta do HD/SSD.


No mesmo post, há um relato de uma pessoa que conseguiu e dá mais dicas: https://bitcointalk.org/index.php?topic=22697.msg10439386#msg10439386

E um tópico em português de um cara que tentou e não conseguiu(talvez por ter reescrito em cima?): https://bitcointalk.org/index.php?topic=2527360.0

Vou fazer uma coleção de tópicos:
Encontrando carteiras de 2009, 2010 do cliente original: https://bitcointalk.org/index.php?topic=2612893.0
Outro do wallet.dat usando o winhex, com imagens: https://bitcointalk.org/index.php?topic=2857580.msg29347584#msg29347584
Pywallet: https://bitcointalk.org/index.php?topic=38004.0
Pywallet, outro: https://bitcointalk.org/index.php?topic=1288078.msg13238007#msg13238007
Site para testar os HEX extraídos: https://www.bitaddress.org/

[1715568639]

1715568639

[1715568639]

1715568639

[sabotag3x]

Resolvi criar uma carteira com a Electrum para ver o que dava pra fazer, sem encriptar*, deletei algumas linhas de modo que a Electrum não conseguisse abrir.. Imagino que possa se equivaler a uma carteira corrompida..

Segwit, seed version 18, bip32..

Se procurar o hex 73 65 65 64, que é equivalente a palavra seed é um bom começo, as 12 palavras aparecem logo após o 22 3a 20 22, que é o ": " antes de começar as palavras, bem como acabam com o mesmo..


O circulo grande é a seed de 12 palavras

Então parece ser bem plausível essa técnica com qualquer carteira, mesmo com o arquivo corrompido, basta analisar o esquema de como as chaves são salvas por ela e então procurar por algum padrão, keyA como no caso do post acima, seed como nesse caso da Electrum (bip32)..

*com ela encriptada, eu não faço ideia

[cryptobaboon]

*com ela encriptada, eu não faço ideia

Nesse caso, a estrutura que você vê ali é como se passasse por um mixer. Pense como uma segunda camada do bolo até chegar no recheio... e, sinceramente, pensando até na integridade do disco ou mesmo da trilha que elenca o fragmento referente à wallet, a chance de sequer restaurá-lo é basicamente inexistente!

Segurança nunca é demais, mas segurança sem tolerância a falha, pode se tornar tão inseguro quanto tê-la dependendo da ocasião. Em outras palavras... tenham um backup, seja da forma que vocês entendem como a maneira mais segura de tê-lo, mas tenham!