Die Situation

Der Kunde erinnerte sich daran, dass er Bitcoin Core auf einem alten PC ausgeführt hatte, anschließend die Wallet gelöscht hatte und später die Festplatte selbst ausgefallen war. Als letzten Ausweg schickte er die Festplatte an unser Labor.

Die Herausforderung

Zwei Probleme auf einmal: Das Laufwerk ließ sich nicht zuverlässig einbinden, und die Wallet-Datei war gelöscht worden. Auf einer Festplatte bleiben gelöschte Daten jedoch in der Regel so lange erhalten, bis sie überschrieben werden – wenn die Platten also lesbar waren, war die Datei „wallet.dat“ wahrscheinlich noch im freien Speicherplatz wiederherstellbar.

Wie wir es wiedergefunden haben

Wir haben ein forensisches Image des defekten Laufwerks erstellt, um von einer stabilen Kopie aus arbeiten zu können, und anschließend das gesamte Image mit pywallet gescannt, um Fragmente der Datei „wallet.dat“ und verstreute private Schlüssel zu extrahieren. Nachdem die Wallet-Datei rekonstruiert war, konnten wir mithilfe einer hinweisgestützten Suche das Passwort wiederherstellen und die Datei entsperren.

Das Ergebnis

Die Bitcoin des Kunden wurden in eine neue Wallet übertragen, vollständig vom alten Speichermedium entfernt. Erfolgshonorar, keine Vorauszahlung. Hinweis: Auf SSDs kann der TRIM-Befehl gelöschte Daten dauerhaft löschen, daher variieren die Ergebnisse je nach Speichermedium – wir prüfen jedes Gerät zunächst.

Haben Sie einen ähnlichen Fall?

Haben Sie einen Speicherordner gelöscht oder haben Sie eine Festplatte, die nicht mehr bootet? Auf der Festplatte sind die Daten oft noch vorhanden. Siehe auch: Datenrettung von defekten Festplatten · Datenrettung von defekten Smartphones