Wallet Backup? Recovery möglich?

[mole0815]

Hey Leute,

ich wurde von einem neuen User kontaktiert und um Hilfe gebeten.
Da er kein Forenmensch ist möchte er das Thema gerne über mich spielen.

Grundsätzlich kein Problem aber ich möchte das gern von Beginn an mit euch durchbesprechen. 1. kann er so mitlesen und 2. bin ich auch nicht weit genug in der Materie.

Es gibt eine Datei im octet-stream Format was ja grundsätzlich leider nicht wirklich etwas aussagt. Sie ist von 2016, 2017 oder 2018 und sollte von der Bezeichnung her einem Backup (vermutlich wallet.dat?) entsprechen.

Da sie ohne Dateiendung auf dem Google Drive rumgelegen ist habe ich sie umbenannt und es gibt solche Zeichenketten:

Insgesamt sind es nur 33kb mit ~110 solcher Zeilen.

Wie kann man am einfachsten rausfinden welche Datei das in Wirklichkeit ist? Backup von Electrum? Oder doch Bitcoin-QT? Ich würde mich freuen wenn wir dem User helfen können und die 0,01 BTC restored bekommen

[o_solo_miner]

Also  octet Bezeichnet als erstes mal nur das 8 Bit (Oktett) verwendet wird.
Das heißt der der Wertebereich Umfaßt 0-255 =256.
Dein Ausschnitt enthält aber nur Druckbare Character (ASCII) also schon mal weniger als 256 Zeichen.
https://de.wikipedia.org/wiki/American_Standard_Code_for_Information_Interchange

Damit kann also alles mögliche gemacht worden sein.
Am einfachsten wird es sein sich alle möglichen Wallets aus der Zeit zu Installieren und ein Backup zu Erzeugen.
1. weiß man dann die extension und 2. wie das im Fileformat Aussieht.
Danach kann man die Google Datei entsprechend Umbenennen und probieren zu Importieren.
Das ist sicher eine Menge Arbeit, aber besser als die Satoshis zu begraben.

Viel Erfolg

EDIT:
/ könte ein Trennzeichen sein, ohne vollständige Datei ist aber erstmal keine Analyse möglich

[mole0815]

Am einfachsten wird es sein sich alle möglichen Wallets aus der Zeit zu Installieren und ein Backup zu Erzeugen.

Danke schon Mal für die erste Rückmeldung
Das war letzte Woche mein Gedanke Nummer 1 und es wurde bereits versucht Electrum und auch Bitcoin Core einzurichten und das die bestehende Wallet.dat danach mit dieser hier zu ersetzen. Das hat in beiden Fällen nicht funktioniert - also entweder falsches Programm oder ggf. auch Datei beschädigt/korrupt.

[o_solo_miner]

Es könte auch ein Dump der Private Keys sein, ich Probiere das heute Abend mal an  meinem Testnet Wallet (Core) aus.
Ich berichte dann mal, wie das Aussehen würde.
Aber in jedem Fall BTC-Addresse und Private key dazu, mit Trennzeichen.
Und evtl. eine ROT13 dazu  
https://de.wikipedia.org/wiki/Rot13

[mole0815]

Ich berichte dann mal, wie das Aussehen würde.

Super danke dir!
Es gab anscheinend mal den falls dass sich Dateien beim Up- bzw. Download verändert/zerschossen haben aber davon gehen wir hier nicht aus. Der Besitzer der Wallet (was es hoffentlich ist) ist sich auch ziemlich sicher die Datei nur zu Analysezwecken geöffnet zu haben... also es gab keine Manipulation am Inhalt.

Kleines Rätsel zu Wochenbeginn damit uns nicht langweilig wird.
Mich würde es (auch wenn ich persönlich nichts davon habe) riesig freuen wenn wir das Problem gemeinsam (für ihn) gelöst bekommen

[bob123]

Was hatte die Datei für einen Namen?
Besitzt die Datei irgendwelche Header oder Footer? (z.B. linux-tool file drauf anwenden)
Metadaten vorhanden? (Linux tool exiftool kann helfen)

[mole0815]

Was hatte die Datei für einen Namen?
Besitzt die Datei irgendwelche Header oder Footer? (z.B. linux-tool file drauf anwenden)
Metadaten vorhanden? (Linux tool exiftool kann helfen)

Der Dateiname war sebst vergeben und wird leider nicht viel helfen: "Bitcoin Wallet Sicherung neustes" - Ohne Dateiendung.
Und da ich kein Linux bei der Hand habe kann ich gerne versuchen ein Windows (10) Tool dafür zu finden.
Ich nehme die Entscheidung aber auch auf meine Kappe und würde die Datei (für die Mitleser: auch wenn man das im Normalfall nie machen sollte!) direkt per Mail an vertrauenswürdige User hier weiterleiten für eine Analyse davon. Also falls jemand Zeit + Lust hat gerne Bescheid geben

[Chris601]

Als erstes würde ich diese Datei mal mit einem Hex-Editor öffnen. Da ergeben sich vielleicht auch Hinweise auf das Format.

[mole0815]

Als erstes würde ich diese Datei mal mit einem Hex-Editor öffnen. Da ergeben sich vielleicht auch Hinweise auf das Format.

Ich habe mir XVI32 portable organisiert und die Datei geöffnet. Viel mehr Infos habe ich (bisher) aber leider nicht für euch.

Also wie gesagt ich habe die Datei hier und würde sie (sehr gern) für eine tiefere Analyse weitergeben um hier für den betroffenen User ans Ziel der BTC-Rettung zu kommen. Folge aber auch gerne euren Ideen/Anleitungen wenn ihr etwas für mich habt.

[5tift]

Hast Du TrIDNet mal getestet, ist auch portable.

https://tridnet.de.uptodown.com/windows

[-doubleU-]

Da sie ohne Dateiendung auf dem Google Drive rumgelegen ist habe ich sie umbenannt und es gibt solche Zeichenketten:

Insgesamt sind es nur 33kb mit ~110 solcher Zeilen.

Nur ganz kurz,  da ich zur Zeit mobil bin und eine mobile Ansicht echt wünschenswert wäre

Das könnte eine ziemlich große Baustelle werden, falls sich mein Verdacht bestätigt. Kann der User sich daran erinnern ob er damals ein Passworts für die Wallet genutzt hat und falls ja, ist Ihm dieses noch bekannt?
Schau mal bitte ob die Datei am Beginn mit der Zeichenkette  "U2F" startet. Das ganze schaut mir nach einem verschlüsselten Key File einer Multibit Wallet aus, welche damals^tm ziemlich verbreitet war bevor immer mehr (Zugriffs-) Probleme damit auftraten.

[mole0815]

Hast Du TrIDNet mal getestet, ist auch portable.https://tridnet.de.uptodown.com/windows

Nein hatte ich bisher nicht. Kann ich aber jederzeit machen wenn es hilft

Schau mal bitte ob die Datei am Beginn mit der Zeichenkette  "U2F" startet. Das ganze schaut mir nach einem verschlüsselten Key File einer Multibit Wallet aus, welche damals^tm ziemlich verbreitet war bevor immer mehr (Zugriffs-) Probleme damit auftraten.

Treffer - die ersten 3 Zeichen der Datei: U2F
Ich werde nachfragen ob es eine Idee zu den Kennwörtern gibt.
Das heißt man wird das Ding (mit passendem Kennwort) + Multibit laufend bekommen um dann z.B. so auf Electrum zu wechseln.

[-doubleU-]

Das heißt man wird das Ding (mit passendem Kennwort) + Multibit laufend bekommen um dann z.B. so auf Electrum zu wechseln.

Zumindestens sollte dies im positiv gedachten Fall genau so sein. Leider gab es mit Multibit und Multibit HD sehr viele Probleme mit korrupten Files oder das trotz aller korrekten Daten die Wallets nicht entschlüsselt wurden. Das wäre dann die besagte größere Baustelle, aber davon gehe ich jetzt mal noch nicht aus. Theoretisch müsste ich sogar Multibit sogar noch auf einem Testrechner installiert haben und auch die Installationsfiles könnten noch irgendwo auf einer HDD liegen, falls es keine vertrauensvollen Downloadquellen. mehr geben sollte. Müsste ich mich bei Bedarf abends mal hinsetzen und in Ruhe schauen.

[mole0815]

Hast dir den 400er Merit verdient
Danke für die Hilfe! Also wenn du eine funktionierende Multibit Umgebung hast wäre es einen Versuch wert die wallet.dat die ich hier habe einzulesen um zu versuchen ob tatsächlich die Passwortabfrage kommt. Dann wüssten wir zumindest ob die Datei in Ordnung ist.

Als DL-Quelle hätte ich sonst diese hier gefunden: https://crypto-wallets.org/multibit-wallet-download-bitcoin-wallet-for-windows/?lang=en
Aber wie du schon sagst sind diese Wallets sehr anfällig für div. Probleme gewesen. Wenn man da nachliest gibt es verschiedenste Probleme: https://bitcoin.stackexchange.com/questions/53517/multibit-hd-wallet-cannot-open-or-restore-i-have-password-and-secret-words

//edit: Gibt ja auch Tools um die Daten zu extrahieren da die Software wohl so richtig schlimm/alt ist. Wird ohne Kennwort aber nicht so wirklich klappen. Naja zuerst Mal rausfinden ob die Datei überhaupt unversehrt ist: https://github.com/Multibit-Legacy/read-multibit-wallet-file

[-doubleU-]

Hast dir den 400er Merit verdient
Danke für die Hilfe! Also wenn du eine funktionierende Multibit Umgebung hast wäre es einen Versuch wert die wallet.dat die ich hier habe einzulesen um zu versuchen ob tatsächlich die Passwortabfrage kommt. Dann wüssten wir zumindest ob die Datei in Ordnung ist.

Danke für die Merits, so schaffe ich es bestimmt wieder in die Top10 der monatlichen Auswertung
So hab fix geschaut. Multibit HD ist noch installiert, aber dürfte uns in diesem Fall nicht weiter bringen da dort die Backupdatein völlig umsonst sind  viel größer sind und ein anderes Format haben. Für Multibit Classic habe ich noch einen Windows x64 Installer der Version 0.5.19 auf der HDD gefunden.

//edit: Gibt ja auch Tools um die Daten zu extrahieren da die Software wohl so richtig schlimm/alt ist. Wird ohne Kennwort aber nicht so wirklich klappen. Naja zuerst Mal rausfinden ob die Datei überhaupt unversehrt ist: https://github.com/Multibit-Legacy/read-multibit-wallet-file

Die Software ist so schlimm, das ich damals mit Noob Kenntnissen über mehrere Tag/Wochen gezwungen war mich intensivst mit der ganzen Materie rund um Seed/Mnemonic Code/Keys/Derivation-Path zu beschäftigen um meine Coins zu retten. Die Lernkurve ist extrem hoch  Also man kann auch gutes über diese Wallet sagen

Das verlinkte Tool gab es damals noch nicht. Klingt aber eigentlich auch ganz gut, wenn der User das Passwort kennt.

[mole0815]

Danke für den Test. Leider habe ich kein Kennwort und der betroffene User keine (zu wenig) Erfahrung in dieser Thematik. Hat jemand von euch die Möglichkeit diese vermutlich Multibit-Wallet.dat einzulesen und zu prüfen ob es zu einer Kennwortabfrage kommt?

Wenn das so ist könnten wir dem User eine Anleitung zusammenstellen wie er es auf seinem Client inkl. seiner Passwortliste (aus dem Kopf) durchgehen kann. Eine andere Möglichkeit zur Hilfe wüsste sonst aktuell nicht.

[-doubleU-]

Hat jemand von euch die Möglichkeit diese vermutlich Multibit-Wallet.dat einzulesen und zu prüfen ob es zu einer Kennwortabfrage kommt?

Da ich wie bereits geschrieben, noch eine Installationsdatei für Multibit Classsic auf dem Rechner gefunden habe, könnt ich diese installieren und diese Schlüssel-Export Datei versuchen einzulesen um zumindest zu prüfen ob diese akzeptiert wird. Vom Aufbau her dürfte es sich um einen kennwortgeschützen Adressen-/Schlüsselexport handeln und nicht um eine Sicherung der Wallet.dat aus dem User Ordner. Daher dürfte auch das oben verlinkte Tool nur bedingt hilfreich sein.

Damit du die Datei nicht aus der Hand geben musst, kann ich dir die Installationsdatei der Wallet auch gern zusenden.

Betreffs des Passwortes, gibt es wohl auch ein Script welches mit Multibit Datein umgehen kann und mittels Bruteforce versucht diese zu entschlüsseln, aber dafür sollten wenigsten ein paar Passwortideen und Variationsmöglichkeiten, welche damals vom User überlicherweise genutzt wurden, vorhanden sein.

Du kannst dem User auch diesen Link zukommen lassen, vielleicht erkennt er an den Bildern ob es diese Wallet damals war mit welcher er gearbeitet hat.

[mole0815]

Danke nochmal -doubleU-!
Da ich keine passende Umgebung bei der Hand habe würde ich sehr gerne auf das Angebot von dir zurück kommen. Schick mir doch bitte deine Mailadresse rüber und ich leite dir dann das Backup weiter. Sieht auch mMn. eher nach Key als Wallet aus. Ein Check ob die Datei gut oder korrupt ist wäre schon eine große Hilfe

Danach können wir wegen Bruteforce oder händischen Versuchen überlegen.

[-doubleU-]

Schick mir doch bitte deine Mailadresse rüber und ich leite dir dann das Backup weiter.

Schick ich dir gleich per PN

Hab grad Multibit Classic installiert und mal Testweise einen Export mit Passwort und einen Export ohne Passwort erstellt.
Hier mal die Ergebnisse, vielleicht hat ja irgend jemand hier eine Idee wie die Verschlüsselung funktioniert, aber ich befürchte das wir ohne Passwortideen nicht weiter kommen werden.

Code:

U2FsdGVkX1+ATzEwv8SD7wyTRZdslqj7PK42IFpSjdnwL9rsx3jHo+hfv5oxpMcAD2qtHcF96tHO
qn5cp4MWnnGozdpLxmX7EyXf/iMW9ulZyMVl2ImOWBO2TD0SIBJb

Code:

# KEEP YOUR PRIVATE KEYS SAFE !
# Anyone who can read this file can spend your bitcoin.
#
# Format:
#   <Base58 encoded private key>[<whitespace>[<key createdAt>]]
#
#   The Base58 encoded private keys are the same format as
#   produced by the Satoshi client/ sipa dumpprivkey utility.
#
#   Key createdAt is in UTC format as specified by ISO 8601
#   e.g: 2011-12-31T16:42:00Z . The century, 'T' and 'Z' are mandatory
#
KyVFLBL2bDFXSAqNtRs3jW5umnTDRoWZsUCfTKmRkSgSYxp5HkZV 2021-03-30T21:00:59Z
# End of private keys

Das hier im Beispiel verwendete Passwort war "test"

[Lakai01]

Das hier im Beispiel verwendete Passwort war "test"

Das Format sieht ja schon mal sehr ähnlich aus, du dürftest also vollkommen recht haben und es wird sich um einen verschlüsselten Export handeln. Wenn ja, sind wir hier so oder so auf die Passwortliste angewiesen, brute-forcen (also alle möglichen Passwörter auszuprobieren) braucht man hier aufwandstechnisch gar nicht versuchen.