Un dossier nommé « backup-final-2 » paraît banal. Sa date et l’ordinateur dont il provient peuvent pourtant en faire une piste sérieuse.
Quelles sauvegardes valent la peine d'être recherchées ?
- Disques durs et SSD externes utilisés pour les sauvegardes complètes du PC ou de l'historique des fichiers
- Clés USB utilisées lors d'une migration d'ordinateur
- Dossiers de profil utilisateur Windows copiés Répertoires
Windows.oldissus d'une réinstallation du système d'exploitation- OneDrive, Dropbox, Google Drive et autres dossiers synchronisés
- Archives ZIP, 7Z et RAR nommées sauvegarde, ancien ordinateur portable, documents, profil ou crypto
- Profils de navigateur et dossiers de données d'application exportés
- Sauvegardes de photos de téléphone pouvant contenir des captures d'écran des instructions de récupération
Faire un inventaire de sauvegarde avant d'ouvrir les fichiers
Créez une liste simple avec le nom de la sauvegarde, la date approximative, l'ordinateur source, le nom d'utilisateur Windows et l'emplacement de stockage. Cela évite des analyses répétées et permet de relier une découverte à la période pendant laquelle vous avez utilisé un portefeuille particulier. Les dates comptent : une sauvegarde d'ordinateur portable datant de 2014 est plus pertinente pour les premières utilisations de Bitcoin Core ou Electrum que pour un portefeuille de navigateur introduit des années plus tard.
Recherche par type d'artefact
Fichiers de base de données Wallet
Recherchez wallet.dat, les répertoires de portefeuille Electrum, les sauvegardes de portefeuille et les fichiers situés à proximité des dossiers d'applications de portefeuille connus. Un nom de fichier générique peut toujours être important lorsque sa structure de dossiers d'origine est préservée.
Stores de clés Ethereum
Recherchez les fichiers JSON contenant des structures de magasins de clés chiffrées plutôt que de supposer que chaque fichier JSON est pertinent. Le guide du magasin de clés Ethereum explique les indices courants et pourquoi ces fichiers nécessitent toujours le mot de passe correct.
Phrase de récupération et indices de clé privée
Les fichiers texte, les exportations du gestionnaire de mots de passe, les PDF, les documents et les captures d'écran peuvent contenir des mots de récupération ou des éléments de clé privée. Ces recherches créent des faux positifs, la validation et le contexte sont donc importants. Conservez les secrets possibles hors ligne et ne les collez pas dans des outils en ligne.
Stockage du portefeuille-navigateur
Un profil de navigateur copié peut conserver le stockage d'extension même s'il n'existe aucune exportation de portefeuille évidente. Conservez toute la structure du profil. La copie d'un seul fichier de base de données aléatoire peut supprimer le contexte nécessaire à l'identification de l'extension et du profil.
Soyez prudent avec les archives compressées
N'extrayez pas en masse des archives inconnues directement sur votre système principal. Travaillez dans un dossier contrôlé avec suffisamment d'espace libre, analysez les archives à la recherche de logiciels malveillants le cas échéant et conservez l'archive d'origine inchangée. Les archives protégées par mot de passe peuvent elles-mêmes être des sauvegardes de portefeuille ; enregistrez leurs noms et leurs dates même si vous ne pouvez pas les ouvrir immédiatement.
Un ordre de recherche pratique
- Établissez la priorité par date et par appareil. Commencez par des sauvegardes de la période au cours de laquelle vous avez acquis ou utilisé la cryptographie.
- Préserver la structure des dossiers. Les chemins des données d'application peuvent identifier la famille de portefeuilles.
- Exécutez des recherches ciblées de noms de fichiers. Vérifiez les fichiers du portefeuille, les magasins de clés, les exportations et les dossiers spécifiques au portefeuille.
- Analysez les racines de sauvegarde lisibles. Utilisez un scanner local pour rechercher des modèles cryptographiques et des artefacts de portefeuille connus.
- Examinez d'abord les pistes fiables. Ne perdez pas de temps à ouvrir des milliers de fichiers texte et JSON sans rapport.
- Enregistrez ce qui a été recherché. Notez les chemins, les dates et les résultats avant de passer à la sauvegarde suivante.
Analyse de plusieurs lecteurs de sauvegarde
Les techniciens et les utilisateurs disposant de nombreux disques peuvent mettre en file d'attente jusqu'à 10 lecteurs ou dossiers uniques dans le flux de travail CryptoTrace Technician. Chaque cible s'exécute de manière séquentielle, ce qui évite de marteler plusieurs anciens disques à la fois, et les résultats finaux combinent les résultats, les totaux, les erreurs et les rapports. Les utilisateurs à domicile peuvent analyser les mêmes types de sauvegardes, une cible à la fois.
Toutes les analyses restent locales et en lecture seule. CryptoTrace peut identifier les artefacts probables du portefeuille et les indices de récupération, mais il ne peut pas garantir qu'un fichier contient des fonds ou contourner un mot de passe oublié.
Que faire avec une sauvegarde prometteuse
- Copiez l'intégralité du dossier concerné, pas seulement le fichier en surbrillance.
- Conserver la sauvegarde d'origine inchangée.
- Documentez la date de sauvegarde, l'ordinateur d'origine et le nom d'utilisateur Windows.
- Identifiez le logiciel et la version du portefeuille avant d'importer quoi que ce soit.
- Utilisez un environnement propre pour la restauration et créez un nouveau portefeuille sécurisé pour les fonds récupérés.
Les sauvegardes transforment une vague recherche en preuve
Une sauvegarde n'a pas besoin d'être clairement étiquetée pour être utile. Sa date, sa structure de dossiers, son profil de navigateur et les fichiers à proximité peuvent reconstituer la façon dont vous utilisiez la cryptographie il y a des années. Recherchez systématiquement, conservez les originaux et laissez chaque indice vérifié affiner l'étape suivante.