Gli specialisti del recupero violano un wallet crypto da 1 miliardo di dollari... ma trovano solo 10 dollari

Quando nel 2021 un cliente di nome Rusty contattò lo specialista nel recupero di criptovalute Chris Brooks, disse che lui e altre due persone avevano vinto 5.000 Bitcoin in una causa, per un valore di circa 53 milioni di dollari all’epoca.

Organizzarono immediatamente una chiamata su Zoom per discutere del caso.

«C’erano tre persone alla chiamata e una di loro mostra un telefono. Contiene qualcosa come 53 milioni di dollari in un indirizzo Bitcoin», racconta Brooks, fondatore e amministratore delegato di CryptoAssetRecovery.com.

Gli uomini sostenevano di poter prelevare fino a 300.000 dollari a settimana, ma volevano trasferire l’intero patrimonio. Se Brooks e suo figlio Charlie fossero volati in Georgia per aiutarli a violare il wallet, li avrebbero resi milionari.

Brooks e suo figlio comprarono i biglietti aerei e partirono il giorno dopo.

A pranzo, Rusty, un veterano dell’esercito alto 6 piedi e 3 pollici, rivelò che il wallet non conteneva soltanto 5.000 BTC.

«Rusty tira fuori il telefono e ci mostra un miliardo di dollari in ETH. Ed è stato allora che ho pensato: okay, qui sta succedendo qualcosa di molto strano».

Gli uomini guidarono poi per circa un’ora fino a un centro commerciale di proprietà di uno di loro, dove entrarono nell’ufficio sul retro e ricevettero dei taccuini contenenti decine di seed di recupero. I due trascorsero la giornata aprendo wallet.

Trovarono circa 10 dollari in Bitcoin.

Brooks non stabilì mai se i wallet che erano stati loro consegnati avessero contenuto in precedenza i BTC o gli ETH che Rusty sosteneva di possedere. Non furono neppure rimborsati per i biglietti aerei.

Correlato: Gli attacchi a Coldcard significano che tutti gli hardware wallet sono ora insicuri?

Brooks ora sospetta che Rusty fosse caduto vittima di truffatori che lo avevano convinto di possedere un grande patrimonio in criptovalute, quando in realtà non era così.

Fu una delle prime lezioni per la loro attività di recupero di criptovalute.

A volte le criptovalute vengono perse. A volte si perde il wallet. A volte si perde la password.

E a volte, si scopre, i fondi non sono mai esistiti.

Perdere le proprie criptovalute non significa sempre che siano scomparse

Per gli specialisti del recupero dei wallet, «criptovalute perse» può significare diverse cose molto differenti.

Non stanno recuperando Bitcoin dalla blockchain; stanno recuperando le informazioni necessarie per accedere a un wallet già esistente.

Anche se qualcuno può aver gettato via un hardware wallet, dimenticato una password o parte della propria seed phrase, nessuna di queste cose significa necessariamente che le criptovalute sottostanti siano scomparse.

Bruno Krauss, cofondatore e direttore tecnico della società di recupero ReWallet, spiega a Magazine:

«Se mancano alcune parole, spesso è possibile recuperarle».

Lo standard BIP39 di Bitcoin usa un elenco di 2.048 parole, il che significa che, se una persona conosce la maggior parte delle parole, gli specialisti possono talvolta cercare sistematicamente le possibilità rimanenti. Meno elementi mancano, più il rompicapo è gestibile.

Il recupero delle password può funzionare in modo molto simile.

Lo standard BIP39 di Bitcoin usa un elenco di 2.048 parole. Fonte: GitHub

Krauss racconta che una volta ReWallet ha recuperato una password di 20 caratteri che proteggeva circa 3 milioni di dollari, dopo aver sottoposto a reverse engineering un generatore di password difettoso.

Altri casi dipendono meno da exploit tecnici che dalla comprensione del modo in cui una determinata persona crea le password.

Ciò significa chiedere ai clienti informazioni su preferenze personali come cibi e luoghi preferiti, nomi e compleanni dei figli, traguardi personali o ricordi.

In un caso, racconta, una cliente era convinta di aver usato i nomi dei figli, per poi ricordare che la password era in realtà un numero di telefono collegato a un servizio di consegne locale:

«Non sapeva perché, ma poi ci ha pensato e ha capito: oh, okay, era perché quel giorno avevo fatto consegnare il pacco al negozio e avevo pensato: okay, questa sarebbe una bella password».

Le passphrase aggiungono un ulteriore livello di complessità

Bennet, un divulgatore di Bitcoin che ha studiato la sicurezza dei wallet, dice che esiste un’altra categoria particolarmente confusa: la passphrase.

Una passphrase è un’informazione aggiuntiva sovrapposta a un seed. Inserendo una passphrase diversa, non si riceve necessariamente un messaggio di errore. Si può semplicemente ottenere un altro wallet valido. Spiega a Magazine:

«Una passphrase errata non genera un errore; viene accettata e mostra un saldo pari a zero».

Si può quindi avere la seed phrase corretta e inserirla correttamente, continuando a pensare che i propri BTC siano spariti.

«Le passphrase inoltre non hanno alcuna funzione per proteggere gli utenti da se stessi: niente elenco di 2.048 parole valide, niente checksum. Quindi, se hai dimenticato una passphrase, la domanda è fondamentalmente la stessa: quanto era casuale la tua passphrase? Se è sufficientemente casuale, spesso non c’è modo di recuperarla».

Nel caso di hardware wallet persi o danneggiati, anche avere il dispositivo rotto non è sempre di grande aiuto. Se la seed phrase di backup del wallet è sopravvissuta, le chiavi possono generalmente essere ripristinate su un altro dispositivo.

Ecco perché agli specialisti del recupero non serve necessariamente l’hardware originale, ma informazioni sufficienti per ricostruire l’accesso alle chiavi.

Correlato: La polizia irlandese apre un wallet Bitcoin anni dopo che le chiavi erano apparentemente andate perse

Il recupero può anche significare correggere degli errori, anziché recuperare un wallet perso. Le criptovalute inviate alla blockchain sbagliata, come BNB a Ethereum, possono talvolta essere recuperate se il wallet ricevente è sotto il controllo dell’utente.

Brooks afferma che Crypto Asset Recovery è stata incaricata di violare più di 3.000 wallet appartenenti a circa 1.500 persone e di aver violato le password di circa il 63% di essi.

A volte è davvero andato perso

Esiste tuttavia un limite invalicabile. Bennet afferma:

«Se il tuo seed è davvero casuale e lo perdi completamente, i tuoi Bitcoin sono andati».

Questo è uno dei compromessi fondamentali dell’autocustodia. Un wallet Bitcoin non dispone di un sistema di recupero simile a quello bancario né di un amministratore centrale che possa verificare la tua identità e ripristinare il tuo account.

Lucien Bourdon, analista Bitcoin presso il produttore di hardware wallet Trezor, la mette in termini ancora più netti. Se il backup del wallet è andato perso e il wallet contenente le chiavi è inaccessibile, «nessuna società di recupero può aiutare». Avverte:

«Se potesse farlo, il wallet potrebbe essere violato e l’autocustodia sarebbe fondamentalmente compromessa».

Grazie alla casualità, indovinare una chiave privata dei wallet crypto è di fatto impossibile. Nel recente caso dell’hardware wallet Bitcoin Coldcard, un bug del firmware ha indebolito la casualità dei seed su alcuni wallet, rendendo possibile forzare i seed senza accesso fisico.

La generazione di numeri casuali deboli non è un problema nuovo. Fonte: Jameson Lopp

Ma se un seed o una chiave privata realmente casuali sono stati completamente distrutti, il numero di possibilità è semplicemente troppo grande.

Krauss afferma che gli specialisti del recupero possono occasionalmente trovare percorsi tecnici per accedere a wallet che i proprietari ritenevano permanentemente inaccessibili e che vecchi software per wallet, file corrotti, password generate male e vulnerabilità hardware possono creare opportunità insolite:

«Non arrendetevi nei casi limite».

Gli specialisti del recupero possono talvolta essere truffatori

Nel settore del recupero esiste un’ironia scomoda.

La persona che potrebbe essere in grado di aiutarti a riottenere l’accesso alle tue criptovalute ha bisogno proprio delle informazioni che consentono a qualcuno di accedervi.

Una seed phrase non è come una password che può essere cambiata dopo che qualcuno l’ha vista. Chiunque disponga del backup necessario del wallet può spesso controllare i fondi.

Questo rende la scelta di uno specialista del recupero una decisione di sicurezza in sé. Bourdon afferma:

«Se decidi di farlo, informati bene. Cerca società con una comprovata esperienza e recensioni riconducibili a clienti reali. Verifica che chiedano un compenso solo in caso di successo, anziché in anticipo. E trasferisci i tuoi fondi su un wallet nuovo con un nuovo backup non appena rientri in possesso del tuo wallet».

Afferma inoltre che gli utenti dovrebbero diffidare di qualsiasi messaggio non richiesto che sostenga che qualcuno possa recuperare i loro fondi.

Krauss afferma che altri segnali d’allarme includono persone che spingono gli utenti a usare WhatsApp o li contattano da indirizzi email personali come Gmail, chiedono pagamenti anticipati o invitano ad aprire account presso un exchange.

Le società di recupero che chiedono una percentuale dei fondi recuperati con successo non sono insolite; tuttavia, pagare in anticipo qualcuno che promette di recuperare un wallet dovrebbe far suonare un campanello d’allarme.

Brooks ha imparato un’altra lezione dal caso Rusty.

Sebbene il recupero di criptovalute possa sembrare un lavoro tecnico, una persona che crede di avere milioni o miliardi di dollari può anche rappresentare un rischio per la sicurezza.

Crypto Asset Recovery non vola più dai clienti per incontrarli di persona, come fece con Rusty. Ora la società gestisce i casi da remoto, elaborando le informazioni sensibili sui wallet tramite sistemi automatizzati e isolati dalla rete.

Brooks afferma che circa il 71% dei wallet che violano contiene meno di 100 dollari e che la società non applica alcun costo per il recupero di asset al di sotto di tale cifra.

Se c’è una cosa che vorrebbe far sapere agli utenti delle criptovalute sul recupero degli asset, è questa:

«Scoprite che cos’è, in concreto, un seed di recupero e perché è importante. È il modo più semplice per assicurarsi di non dover mai parlare con noi.»

Rivista: Resta un mistero perché un OG abbia bruciato 1 milione di dollari in Bitcoin