Onlangs kregen wij een interessante vraag voorgelegd van een klant: is het mogelijk om toegang tot een crypto-wallet te herstellen wanneer de eigenaar zelf de toegangssleutel is verloren, maar we wél beschikken over een veiliggestelde telefoon waarop die sleutel zich mogelijk bevond? Bij EBBEN combineren we digitaal forensisch onderzoek met crypto-expertise. In dit onderzoek kwam die combinatie bijzonder goed van pas.
We kregen de beschikking over een iPhone waarvan vermoed werd dat er een crypto-wallet op stond. De eigenaar had echter geen toegang meer tot zijn wallet en ook de herstelzin, de reeks van 12 tot 24 woorden die toegang geeft tot de wallet, was niet meer terug te vinden. Een nachtmerrie waarmee voor de eigenaar van de wallet een aanzienlijk bedrag gemoeid was.
De centrale onderzoeksvraag werd dan ook:
Kunnen we uit de veiliggestelde telefoon de herstelzin, voor een specifiek walletadres, reconstrueren, zodat de eigenaar weer daadwerkelijk bij zijn saldo kon, in plaats van er alleen maar naar kijken?
Elke speurtocht begint met een plan. En dit was er een waarin digital forensics en crypto inzicht hand in hand gingen. We begonnen met het veiligstellen van het belangrijkste bewijsstuk: de iPhone. Die werd bit voor bit gekopieerd met gecertificeerde forensische tools, zodat we een exacte kopie hadden om op te werken. Zo konden we zoeken zonder het origineel te veranderen.
Vervolgens keken we naar het profiel van ons doelwit: een herstelzin. Niet zomaar een wachtwoord, maar een reeks van exact 12 tot 24 zorgvuldig gekozen woorden. Deze structuur gaf ons houvast. We ontwierpen een slimme zoekformule (regex) waarmee we automatisch zinnen konden opsporen die het patroon van zo’n herstelzin volgen.
Met een groeiende lijst van verdachte zinnen gingen we verder. We bouwden een script dat ons werk versnelde en verscherpte. Dit script deed drie dingen:
Om zeker te weten dat onze bevindingen klopten, voerden we een onafhankelijke validatie (na toestemming) uit. Met behulp van vertrouwde tools, zoals MetaMask en andere software wallets, verifieerden we de gegenereerde gegevens. Wat we vonden, moest standhouden buiten onze eigen omgeving — dat is de essentie van forensische zorgvuldigheid.
De zoekopdracht werd uitgevoerd op duizenden tekstbestanden, notities, appdata en cachebestanden uit de back-up van de telefoon. Met behulp van onze regex-formule identificeerden we duizenden kandidaat-zinnen bestaande uit 12 of 24 woorden die mogelijk de toegang tot de specifieke wallet kunnen verschaffen.Vervolgens testten we deze automatisch met ons script. Voor elke kandidaat genereerden we meerdere walletadressen, elk gebaseerd op verschillende standaard ‘derivatiepaden’ die door wallets worden gebruikt. Toen we een match vonden tussen een gegenereerd adres en een adres dat eerder in een transactie op de blockchain was aangetroffen, wisten we: dit is de juiste herstelzin.
Dankzij de combinatie van slimme forensische analyse, cryptografische kennis en geautomatiseerde tooling, konden we:
Zonder domeinkennis van crypto is dit type onderzoek vrijwel onmogelijk. Tegelijk is kennis van cryptografie niet voldoende: alleen dankzij onze ervaring met het doorzoeken van forensische datasets en het herkennen van digitale sporen konden we de juiste zinnen identificeren.
Bij EBBEN brengen we beide werelden bij elkaar. Onze crypto-experts begrijpen het protocol, onze digitale forensisch onderzoekers kennen de structuren waarin gebruikers sporen achterlaten. Samen komen we tot een aanpak die werkt.
Crypto is niet anoniem. En het is ook niet ondoorgrondelijk. Met de juiste kennis, tools en een ethisch kompas kunnen we verloren toegang reconstrueren. Dit onderzoek laat zien dat zelfs een vergeten wallet niet altijd voor altijd verloren hoeft te zijn.
Wil je meer weten over onze aanpak of sparren over een digitaal forensisch of crypto-gerelateerd onderzoek? Neem contact op met Jelle Oorebeek of Marcel Westerhoud. Wij denken graag mee.
