Stary komputer lub telefon z portfelem

Stare komputery, telefony i zewnętrzne nośniki danych mogą zawierać ważne ślady lub materiał dostępowy: laptop w szufladzie, telefon, który „gdzieś się jeszcze ładował”, zewnętrzny dysk lub pendrive. Maszyna jest dowodem i być może jedyną drogą do aktywów. Traktuj ją odpowiednio.

Dlaczego stare urządzenia mają znaczenie

Dostęp do krypto często składa się z kilku elementów: programu portfela, pliku, hasła, zalogowanej sesji lub frazy odzyskiwania w dokumencie. Stare urządzenia często zawierają te elementy dokładnie tak, jak zostawił je właściciel. Ten „oryginalny obraz” jest właśnie tym, co umożliwia późniejsze badanie, i dlatego wartość urządzenia może leżeć w jego nietkniętym stanie, a nie w stanie sprawności.

Co może być na urządzeniu

• Oprogramowanie portfela, aplikacje desktopowe, rozszerzenia przeglądarki, aplikacje mobilne.
• Pliki portfela, pliki takie jak wallet.dat, pliki keystore/JSON lub foldery danych aplikacji z materiałem kluczy.
• Pliki kopii zapasowych, wyeksportowane kopie, bazy menedżerów haseł lub pliki notatek ze słowami odzyskiwania.
• Wskazówki, historia przeglądarki do giełdy lub strony portfela, zapisane strony logowania, szkice e-maili, zrzuty ekranu sald lub kody QR.

Jak traktować maszynę

• Nie włączaj jej bez potrzeby, nie uruchamiaj aktualizacji i nie podłączaj do internetu, zanim nie będzie planu. Nie zmieniaj automatycznie stanu zasilania ani sieci: jeśli urządzenie jest wyłączone, nie włączaj go bez planu; jeśli jest już włączone lub może być ważne dla dostępu, nie zmieniaj bez powodu ustawień, nie włączaj automatycznie trybu samolotowego i nie wyłączaj go bez zastanowienia. Najpierw ustal, jak bezpiecznie odizolować urządzenie od sieci, zachowując jego obecny stan.
• Nie resetujcie, nie instalujcie ponownie ani nie usuwajcie niczego. Reset fabryczny to najbardziej destrukcyjne działanie dla spadku krypto.
• Nie próbujcie wielokrotnie haseł ani PIN-ów; niektóre urządzenia spowalniają, blokują się, resetują lub wymazują dane lokalne po kilku błędnych próbach.
• Dokumentuj to, co widzisz, bez zapisywania tajemnic. Fotografuj zewnętrzną stronę, model i (później) strukturę plików, nigdy samych słów, kluczy ani kodów QR.
• Pozostawcie maszynę i otoczenie bez zmian, dopóki przedstawiciel prawny nie zdecyduje, co może być badane. Zobaczcie łańcuch powierzenia i dowody.
• Przechowujcie ładowarkę, kable i ewentualną kartę SIM przy urządzeniu i wszystko w suchym, bezpiecznym miejscu.

Kopie i podejście kryminalistyczne

Gdy badanie jest konieczne, wybierzcie metodę, która pozostawi oryginalne urządzenie możliwie nienaruszone. Odpowiedni sposób kopiowania lub odczytu zależy od typu urządzenia.

Jakie ślady mogą pozostać

• Programy portfela i ich pliki (pliki portfela lub keystore);
• rozszerzenia przeglądarki dla portfeli i ich ustawienia;
• dokumenty z frazami odzyskiwania lub notatki;
• archiwa e-mail z korespondencją z giełdami;
• wpisy menedżerów haseł;
• zalogowane sesje na stronach internetowych.

Znalezisko to wskazówka; dopiero po weryfikacji istnieje zweryfikowany zapis cyfrowy lub on-chain konta lub portfela.

Co z tym zrobić

• Stare komputery i telefony mogą zawierać pliki portfela, frazy, hasła i 2FA.
• Gdy spadek jest gotowy: dokładne i udokumentowane badanie może znaleźć i skopiować te pliki bez ich zmieniania. Ponieważ zły krok może zmienić lub zablokować jedyną kopię, często najlepiej zrobić to z pomocą profesjonalisty, i nigdy przed potwierdzeniem uprawnień.
• Klasyczny błąd: włączanie, aktualizowanie, synchronizowanie lub otwieranie oprogramowania portfela bez planu, każdy krok może zmienić dane, metadane, stan aplikacji lub możliwości dostępu, a w niektórych sytuacjach utrudnić odzyskanie.
• Jeśli coś zostało już otwarte lub zmienione: nie próbujcie niczego więcej, przeczytajcie Popełniliście już błąd przy spadku krypto.
• Dopóki uprawnienia nie zostaną potwierdzone, trzymajcie urządzenie z dala od sieci i nie ładujcie ani nie odblokowujcie go nieostrożnie.

Dlaczego nie grzebać samemu

Otwarcie oprogramowania portfela, odszyfrowanie plików lub zgadywanie poświadczeń może zmienić lub zablokować jedyną kopię materiału kluczy. Nawet odczytanie pliku może zaktualizować jego metadane lub wywołać synchronizację. Bezpieczna kolejność to: zabezpieczcie → zidentyfikujcie → ustalcie uprawnienia → dopiero potem, z udokumentowanym planem, badajcie. Stare urządzenie znalezione po śmierci to kwestia spadkowa, nie naprawa komputera, i nie powód, by oddawać tajemnice komukolwiek, kto kontaktuje się z ofertą „zeskanowania” go.

Indeks formatów portfeli omawianych w tej bibliotece i jego szczegółowego poradnika znajdziecie w bibliotece formatów portfeli.