Baza wiedzy
Zabezpieczanie dowodów: bezpieczne obchodzenie się ze starymi portfelami i dyskami
Oryginalny plik lub dysk to jedyny dowód, który się liczy. Najpierw kopia, hash, zaprzestanie używania urządzenia — i nigdy nie wolno dopuścić narzędzia online do danych portfela.
Krótka odpowiedź
Większość możliwych do uniknięcia porażek odzyskiwania zdarza się przed rozpoczęciem poszukiwań: oryginał zostaje nadpisany, zmieniony, ponownie zapisany lub przesłany gdzieś. Proszę natychmiast przestać używać urządzenia lub pliku i pracować wyłącznie na kopiach lub obrazie dysku.
Pierwsze zasady
- Proszę zrobić dokładną kopię przed jakąkolwiek analizą i nigdy nie pracować na oryginale
- Proszę zapisać hash SHA-256 oryginału; hash dowodzi, że kopie nie zostały zmienione
- Proszę zanotować, gdzie i kiedy plik został znaleziony: urządzenie, folder, kopia zapasowa, przybliżona data
- Proszę nie zmieniać nazw plików ani rozszerzeń, nie otwierać ich i nie zapisywać ponownie w edytorze
- Proszę nie importować nieznanego pliku do przypadkowych portfeli „żeby zobaczyć, co się stanie”
- Proszę nie przesyłać plików portfela, fraz ani kluczy do żadnego internetowego sprawdzania ani „narzędzia odzyskiwania”
Stare komputery i dyski
- Proszę natychmiast przestać używać urządzenia po usunięciu: nowe zapisy mogą nadpisać dane
- W przypadku stabilnego, czytelnego dysku należy utworzyć obraz przed pracą na plikach. Jeśli dysk ma objawy uszkodzenia fizycznego, należy zaprzestać jego używania i zlecić ocenę przed próbą kopiowania; wielokrotne odczyty, również za pomocą dd lub Clonezilla, mogą pogorszyć uszkodzenie.
- Fizyczne odzyskiwanie dysków to osobna specjalność z własnymi laboratoriami; narzędzia plikowe to nie to samo
Malware i fałszywe narzędzia
- Proszę pobierać narzędzia odzyskiwania tylko z oficjalnych źródeł (oficjalne GitHub, oficjalne strony); linki z wyników wyszukiwania i fora to standardowa droga malware
- Fałszywe pobrania „odzyskiwania portfela”, „sprawdzania portfela” i „odzyskiwania hasła” istnieją właśnie dla tej grupy odbiorców
- Żadne wiarygodne narzędzie nie prosi o wpisanie frazy odzyskiwania na stronie ani przesłanie pliku portfela
- Po odzyskaniu proszę przenieść środki do świeżego portfela i nigdy nie używać ponownie ujawnionego materiału klucza
Czy wypróbowali Państwo opisane kroki i nadal nie mają dostępu?
Pierwsza ocena jest bezpłatna i nie wymaga poufnych danych: prosimy opisać, co jeszcze pozostało, a dowiedzą się Państwo, czy odzyskanie jest realne. Opłata jest należna tylko wtedy, gdy odzyskanie się powiedzie.