Stary komputer lub telefon z portfelem

Większość krypto znalezionego w spadku znajduje się na starym sprzęcie: laptop w szufladzie, telefon, który „gdzieś się jeszcze ładował”, zewnętrzny dysk lub pendrive. Maszyna jest dowodem i być może jedyną drogą do aktywów. Traktuj ją odpowiednio.

Dlaczego stare urządzenia mają znaczenie

Dostęp do krypto często składa się z kilku elementów: programu portfela, pliku, hasła, zalogowanej sesji lub frazy odzyskiwania w dokumencie. Stare urządzenia często zawierają te elementy dokładnie tak, jak zostawił je właściciel. Ten „oryginalny obraz” jest właśnie tym, co umożliwia późniejsze badanie, i dlatego wartość urządzenia może leżeć w jego nietkniętym stanie, a nie w stanie sprawności.

Co może być na urządzeniu

• Oprogramowanie portfela, aplikacje desktopowe, rozszerzenia przeglądarki, aplikacje mobilne.
• Pliki portfela, pliki takie jak wallet.dat, pliki keystore/JSON lub foldery danych aplikacji z materiałem kluczy.
• Pliki kopii zapasowych, wyeksportowane kopie, bazy menedżerów haseł lub pliki notatek ze słowami odzyskiwania.
• Wskazówki, historia przeglądarki do giełdy lub strony portfela, zapisane strony logowania, szkice e-maili, zrzuty ekranu sald lub kody QR.

Jak traktować maszynę

• Nie włączaj jej bez potrzeby, nie uruchamiaj aktualizacji i nie podłączaj do internetu, zanim nie będzie planu. Jeśli to możliwe, włącz tryb samolotowy lub odłącz sieć.
• Nie resetujcie, nie instalujcie ponownie ani nie usuwajcie niczego. Reset fabryczny to najbardziej destrukcyjne działanie dla spadku krypto.
• Nie próbujcie wielokrotnie haseł ani PIN-ów, urządzenia blokują się po kilku próbach.
• Dokumentuj to, co widzisz, bez zapisywania tajemnic. Fotografuj zewnętrzną stronę, model i (później) strukturę plików, nigdy samych słów, kluczy ani kodów QR.
• Pozostawcie maszynę i otoczenie bez zmian, dopóki przedstawiciel prawny nie zdecyduje, co może być badane. Zobaczcie łańcuch powierzenia i dowody.
• Przechowujcie ładowarkę, kable i ewentualną kartę SIM przy urządzeniu i wszystko w suchym, bezpiecznym miejscu.

Kopie i podejście kryminalistyczne

Gdy badanie jest naprawdę potrzebne, preferowaną metodą jest obraz tylko do odczytu dysku, wykonany w sposób technicznie poprawny i pod nadzorem. Oryginał pozostaje nienaruszony; na kopii można zidentyfikować pliki portfela, dokumenty i aplikacje bez modyfikowania oryginału. Czy taka kopia jest potrzebna, rozstrzyga się indywidualnie, to nie jest automatyczny krok.

Jakie ślady mogą pozostać

• Programy portfela i ich pliki (pliki portfela lub keystore);
• rozszerzenia przeglądarki dla portfeli i ich ustawienia;
• dokumenty z frazami odzyskiwania lub notatki;
• archiwa e-mail z korespondencją z giełdami;
• wpisy menedżerów haseł;
• zalogowane sesje na stronach internetowych.

Znalezisko to wskazówka; dopiero po weryfikacji jest to potwierdzone konto lub potwierdzony portfel.

Co z tym zrobić

• Stare komputery i telefony to najbardziej prawdopodobne miejsce na pliki portfela, frazy, hasła i 2FA.
• Gdy spadek jest gotowy: dokładne i udokumentowane badanie może znaleźć i skopiować te pliki bez ich zmieniania. Ponieważ zły krok może zmienić lub zablokować jedyną kopię, często najlepiej zrobić to z pomocą profesjonalisty, i nigdy przed potwierdzeniem uprawnień.
• Klasyczny błąd: włączanie, aktualizowanie, synchronizowanie lub otwieranie oprogramowania portfela, każdy krok może nadpisać lub zablokować jedyną kopię materiału kluczy.
• Jeśli coś zostało już otwarte lub zmienione: nie próbujcie niczego więcej, przeczytajcie Popełniliście już błąd przy spadku krypto.
• Dopóki uprawnienia nie zostaną potwierdzone, trzymajcie urządzenie z dala od sieci i nie ładujcie ani nie odblokowujcie go nieostrożnie.

Dlaczego nie grzebać samemu

Otwarcie oprogramowania portfela, odszyfrowanie plików lub zgadywanie poświadczeń może zmienić lub zablokować jedyną kopię materiału kluczy. Nawet odczytanie pliku może zaktualizować jego metadane lub wywołać synchronizację. Bezpieczna kolejność to: zabezpieczcie → zidentyfikujcie → ustalcie uprawnienia → dopiero potem, z udokumentowanym planem, badajcie. Stare urządzenie znalezione po śmierci to kwestia spadkowa, nie naprawa komputera, i nie powód, by oddawać tajemnice komukolwiek, kto kontaktuje się z ofertą „zeskanowania” go.

Pełny indeks każdego formatu portfela i jego szczegółowego poradnika znajdziecie w bibliotece formatów portfeli.