状況

その顧客は、古いPCでBitcoin Coreを実行していたことを覚えており、その後ウォレットを削除し、さらにその後、そのドライブ自体が故障してしまったとのことでした。彼らは最後の手段として、そのドライブを当社のラボに送ってきました。

課題

2つの問題が重なっていました。ドライブが安定してマウントされない上に、ウォレットファイルが削除されてしまっていたのです。しかし、ハードドライブの場合、削除されたデータは上書きされるまで通常は残っています。したがって、プラッターが読み取れる状態であれば、空き領域から「wallet.dat」ファイルを復元できる可能性は十分ありました。

それをどのように回収したか

故障したドライブのフォレンジックイメージを作成し、安定したコピーから作業を行いました。その後、そのイメージ全体をpywalletでスキャンし、wallet.datの断片や散在する秘密鍵を抽出しました。ウォレットファイルを再構築した後、ヒントに基づく検索によりパスワードを復元し、ロックを解除しました。

結果

お客様のビットコインは、古いストレージから完全に切り離された新しいウォレットに移されました。成功報酬制で、前払いは一切不要です。注：SSDでは、TRIMコマンドによって削除されたデータが完全に消去される場合があるため、結果はストレージの種類によって異なります。そのため、弊社ではまず各デバイスを個別に診断いたします。

同じようなケースはありますか？

ウォレットを削除してしまった、あるいは起動しないドライブをお持ちですか？ハードドライブ上では、多くの場合、データは残っています。関連記事：故障したハードドライブのデータ復旧・故障したスマートフォンのデータ復旧