コンテンツへスキップ

上書きされた暗号資産ウォレットの鍵を復旧

上書きされた暗号資産ウォレットの鍵を復旧

デバイス:
MacBook Air

資産:
セルフカストディ型暗号資産ウォレット(NEO/Neonウォレット)

想定されるリスク額:
約96,000ドル相当の暗号資産

問題:
編集/コピー&ペースト中に秘密鍵が上書きされました

鍵の保存場所:
Appleメモ(テキスト形式で保存)

あるお客様は、コンピュータ上のメモを更新した後、約¥14,300,000相当の暗号資産を保有するウォレットへのアクセスを突然失いました。ウォレットの認証情報はメモアプリに保存していました。編集作業中、おそらくコピー&ペースト操作の際に、秘密鍵が誤って上書きされてしまいました。

お客様は、誤操作後はデバイスの使用を最小限にとどめ、自己流の復旧ツールも使用していなかったと報告しました。これにより、暗号資産の復旧 の成功可能性を最大限に維持することができました。

課題

暗号資産の鍵には「ほぼ正しい」という概念はありません。1文字でも誤り、欠落、または余分な文字があると、アクセスは完全に失われます。

このケースでは、お客様がNotes内の元の秘密鍵を、似ているものの一部が欠けたバージョンで上書きしてしまったため、画面上に表示されているメモはもはや信頼できない状態でした。成功の可能性を最大化するには、Notesのインターフェースの背後にあるアプリの基盤データベースを調査し、そこに残っている可能性のある編集前テキストの痕跡(アーティファクト)を解析する必要がありました。

プロセス

機密ワークフロー

作業は、DriveSavers Data Recovery の標準的なネットワーク環境から切り離された隔離システム上で、高度なセキュリティプロセスに従って実施されました。

フォレンジック・イメージング

チームは、元の状態を保持するためにデータ保存媒体の検証済みイメージを作成し、分析は管理されたコピー上で継続して行いました。

ターゲットを絞ったアーティファクト探索

チームは、Notesアプリに表示されている内容に頼るのではなく、アプリがバックグラウンドでコンテンツを保存・更新している場所を追跡しました。具体的には、Notesのデータベースおよび変更追跡ファイルを調査しました。

エンジニアリングチームは、Notesアプリの関連アーティファクトを低レベルで解析し、想定される秘密鍵のパターンに一致する候補文字列を検索しました。その結果、想定される構造に合致し、かつ以前の破損していないバージョンと思われる候補鍵を複数特定しました。

検証

暗号資産の復旧において、検証は極めて重要です。鍵は、その正確性が証明されて初めて「復旧された」と言えます。

暗号検証

Notesデータベースのアーティファクトから復元された秘密鍵の候補は、NEOウォレットの暗号アルゴリズムを用いて対応する公開鍵を導出することで検証されました。

既知の公開鍵との一致

導出された各公開鍵は、お客様が別途記録していた公開鍵/ウォレットアドレスと照合されました。そのうちの1つが完全に一致した時点で、チームは正しい秘密鍵が復元されたことを確実に確認できました。

最小限の返却

お客様には、必要最小限の内容に限定したテキスト形式で復元された鍵が提供されました。

結果

お客様はウォレットへのアクセスを回復し、復元された鍵が期待どおりに機能することを確認しました。

私は創意工夫を凝らし、ドライブの生の16進数解析を実施して、Notesデータベースのエントリの以前のバージョンを特定しました。未割り当て領域で秘密鍵の断片の可能性があるデータを特定した後、お客様の既知の公開鍵と照合して検証し、ウォレットのロックを解除しました。

– Will DeLisi
DriveSavers データ復旧エンジニア

なぜ これが成功したのか

鍵が上書きされると、「フロントエンド」の表示上からは消えてしまう場合があります。しかし、Notesのようなアプリは通常、作業ファイルや最近の変更に関するアーティファクトを生成するデータベースに依存しています。最終的に表示されているメモの内容が誤っていても、その下層に以前のテキストの痕跡が残っていることがあります。特に、その後デバイスがあまり使用されていない場合には、その可能性が高まります。

技術ディープダイブ

なぜこれが単にテキストファイルや文書を検索するだけの簡単な作業ではないのか、疑問に思われるかもしれません:

データベース保存

Notesは、単一のプレーンテキストファイルではなく、データベースにコンテンツを保存します。

変更アーティファクト

データベースは通常、最近の更新を追跡するために関連ファイルを使用しており、これらのアーティファクトには編集後であっても以前のテキストが残っている場合があります。

手動復旧

エンジニアは、生データを解析してパターンや構造に基づき候補を特定し、その後ウォレットの挙動や公開鍵との照合によって検証します。

このような 状況 にある場合

秘密鍵を上書きまたは破損してしまった可能性がある場合:

デバイスの使用を中止してください:新たな操作によって、以前のテキストを含んでいる可能性のある残存アーティファクトが上書きされる恐れがあります。

これ以上編集しないでください:コピー&ペーストを繰り返したり、鍵を「修正」しようとしたりすると、以前のバージョンの残存データが失われる可能性があります。

検証情報を保管してください:公開鍵/アドレスを別の場所に記録している場合は、必ず保管してください。正しい秘密鍵が見つかったかどうかを確認するのに役立ちます。

次のステップ: デバイスを現在の状態のまま保管し、残っているウォレット識別情報(公開鍵/アドレス、ウォレットアプリ名/バージョン、鍵の保存場所)を収集してください。その後、DriveSavers にお電話ください。データ復旧アドバイザーが24時間365日対応しています。

DriveSavers シニアマーケティングマネージャー
DriveSaversやデータ復旧、または他の技術関連の話題について執筆していますか?
お問い合わせください。

このページのトップへ
検索