Nel 2021 un cliente di nome Rusty contattò lo specialista di recupero crypto Chris Brooks, sostenendo che lui e altre due persone avevano vinto 5.000 Bitcoin in una causa legale — un valore di circa 53 milioni di dollari all'epoca. Venne organizzata immediatamente una chiamata su Zoom.

"C'erano tre persone in chiamata e una di loro mostra un telefono. Ci sono tipo 53 milioni di dollari in un indirizzo Bitcoin", ricorda Brooks, fondatore e amministratore delegato di CryptoAssetRecovery.com.

Gli uomini dichiararono di poter prelevare fino a 300.000 dollari a settimana, ma volevano estrarre l'intera fortuna. Se Brooks e suo figlio Charlie fossero volati in Georgia per aiutarli a sbloccare il wallet, promisero, li avrebbero resi milionari. Brooks e il figlio comprarono i biglietti aerei e partirono il giorno successivo.

A pranzo, Rusty — un veterano dell'esercito alto un metro e novanta — rivelò che il wallet avrebbe presumibilmente contenuto più di 5.000 BTC. "Rusty tira fuori il telefono e ci mostra un miliardo di dollari in ETH. E lì ho pensato: okay, sta succedendo qualcosa di molto strano."

Il gruppo guidò poi per circa un'ora fino a un centro commerciale di proprietà di uno di loro, dove, in un ufficio sul retro, Brooks e il figlio ricevettero quaderni contenenti decine di seed di recupero. Passarono la giornata ad aprire wallet.

Trovarono circa 10 dollari in Bitcoin.

Brooks non accertò mai se i wallet consegnati avessero mai contenuto i BTC o gli ETH che Rusty sosteneva di possedere — e i due non furono mai rimborsati dei voli.

Brooks oggi sospetta che Rusty fosse stato truffato da persone che lo avevano convinto di possedere una grande fortuna in crypto mai esistita. L'episodio divenne una lezione precoce per l'attività di recupero: a volte si perde la crypto, a volte si perde il wallet, a volte si perde la password — e a volte i soldi non ci sono mai stati fin dall'inizio.

Correlato: Gli attacchi a Coldcard significano che tutti gli hardware wallet ora sono insicuri?

Perdere la crypto non significa sempre che sia sparita

Per gli specialisti di recupero wallet, "crypto persa" può significare cose molto diverse. Non stanno recuperando Bitcoin dalla blockchain; stanno recuperando le informazioni necessarie per accedere a un wallet già esistente. Un hardware wallet gettato via, una password dimenticata o una frase seed parziale non significano necessariamente che la crypto sottostante sia sparita.

"Se mancano alcune parole, spesso è possibile recuperarle", racconta a Magazine Bruno Krauss, cofondatore e direttore tecnico dell'impresa di recupero ReWallet.

Lo standard BIP39 delle frasi seed di Bitcoin si basa su una lista di 2.048 parole: ciò significa che se qualcuno ricorda la maggior parte delle parole, gli specialisti possono talvolta cercare sistematicamente le possibilità rimanenti. Meno pezzi mancano, più il rompicapo è gestibile. Il recupero delle password funziona in modo molto simile.

Krauss racconta che ReWallet ha recuperato una volta una password di 20 caratteri che proteggeva circa 3 milioni di dollari, mediante reverse engineering di un generatore di password difettoso. Altri casi dipendono meno da exploit tecnici e più dalla comprensione di come una particolare persona costruisce le proprie password — chiedendo di cibi e luoghi preferiti, nomi e compleanni dei figli, traguardi o ricordi personali.

In un caso, una cliente era convinta di aver usato i nomi dei figli, per poi scoprire che la password era in realtà un numero di telefono collegato a un servizio di consegna locale: "Non sapeva perché, ma poi ci ha pensato e si è resa conto: ah, okay, era perché quel giorno ho ricevuto il pacco al negozio e ho pensato: questa sarebbe una bella password."

Le passphrase aggiungono un ulteriore livello di complessità

Bennet, un educatore Bitcoin che ha studiato la sicurezza dei wallet, indica una categoria particolarmente insidiosa: la passphrase. Una passphrase è un'informazione aggiuntiva sovrapposta alla seed. Se si inserisce una passphrase diversa non si riceve necessariamente un messaggio di errore — si può semplicemente ottenere un altro wallet valido.

"Una passphrase errata non genera un errore; ha successo e mostra un saldo pari a zero", racconta a Magazine. Gli utenti possono quindi inserire correttamente una frase seed corretta e credere comunque che il loro BTC sia sparito.

"Le passphrase inoltre non hanno meccanismi per proteggere gli utenti da sé stessi; nessuna lista di 2.048 parole valide, nessun checksum. Quindi se avete dimenticato una passphrase, la domanda è di nuovo la stessa: quanto era casuale la vostra passphrase? Se era sufficientemente casuale, spesso non c'è modo di recuperarla."

Con hardware wallet smarriti o rotti, persino il dispositivo rotto non sempre è di grande aiuto. Se la frase seed di backup sopravvive, le chiavi possono in genere essere ripristinate su un altro dispositivo — ecco perché gli specialisti di recupero non necessariamente hanno bisogno dell'hardware originale, ma solo di informazioni sufficienti per ricostruire l'accesso alle chiavi.

Correlato: La polizia irlandese apre un wallet Bitcoin anni dopo la presunta perdita delle chiavi

Il recupero può anche significare correggere errori anziché recuperare un wallet perduto. Le crypto inviate sulla blockchain sbagliata — come BNB su Ethereum — possono talvolta essere recuperate se il wallet ricevente è sotto il controllo dell'utente.

Brooks racconta che Crypto Asset Recovery è stata incaricata di sbloccare più di 3.000 wallet appartenenti a circa 1.500 persone e ha violato le password di circa il 63% di essi.

A volte la perdita è davvero definitiva

Esiste però un limite invalicabile. "Se la tua seed è realmente casuale e la perdi completamente, il tuo Bitcoin è perso", afferma Bennet.

Questo è uno dei compromessi fondamentali dell'autocustodia. Un wallet Bitcoin non ha un sistema di recupero in stile bancario né un amministratore centrale che possa verificare l'identità e ripristinare un account. La scala del problema è significativa: la società di analisi blockchain Chainalysis ha stimato che diversi milioni di Bitcoin — una quota sostanziale di tutti quelli che esisteranno mai — giacciono in wallet le cui chiavi sono di fatto irraggiungibili, il che è in parte il motivo per cui intorno alle credenziali perse è nata un'industria di recupero di nicchia.

Lucien Bourdon, analista Bitcoin dell'azienda di hardware wallet Trezor, è ancora più netto: se il backup del wallet è perduto e il wallet contenente le chiavi è inaccessibile, "nessuna società di recupero può aiutare". E avverte: "Se potessero, il wallet potrebbe essere violato e l'autocustodia sarebbe fondamentalmente compromessa."

Grazie alla casualità, indovinare una chiave privata è di fatto impossibile. Nel recente caso dell'hardware wallet Bitcoin Coldcard, un bug del firmware ha indebolito la casualità delle seed su alcuni wallet, rendendole forzabili via brute force senza accesso fisico — anche se la generazione debole di numeri casuali non è un problema nuovo.

Ma se una seed o una chiave privata genuinamente casuale è stata completamente distrutta, il numero di possibilità è semplicemente troppo grande. Krauss rileva che gli specialisti di recupero possono occasionalmente trovare vie tecniche per accedere a wallet che i proprietari ritenevano inaccessibili per sempre, e che vecchi software di wallet, file corrotti, password generate in modo scadente e vulnerabilità hardware possono creare opportunità insolite: "Non arrendetevi sui casi limite."

Gli specialisti di recupero possono talvolta essere truffatori

Nel settore del recupero esiste un'ironia scomoda: la persona che potrebbe aiutarvi a riottenere l'accesso alla vostra crypto ha bisogno proprio delle informazioni che concedono a qualcuno l'accesso ad essa. Una frase seed non è come una password che può essere cambiata dopo essere stata vista; chiunque possieda il backup del wallet può spesso controllare i fondi. Scegliere uno specialista di recupero è quindi esso stesso una decisione di sicurezza — un punto segnalato anche dai regolatori. Il regolatore finanziario della California, ad esempio, ha messo in guardia il pubblico dalla proliferazione di truffe di "recupero crypto" con pagamento anticipato, con truffatori che si spacciano per esperti di recupero asset e chiedono pagamenti anticipati per servizi mai erogati.

"Se decidete di farlo, fate i compiti. Cercate imprese con un track record reale e recensioni rintracciabili fino a clienti effettivi. Verificate che fatturino a successo e non in anticipo. E spostate i vostri fondi in un wallet nuovo con un nuovo backup appena siete rientrati", dice Bourdon, aggiungendo che gli utenti dovrebbero diffidare di qualsiasi messaggio non richiesto che sostenga che qualcuno possa recuperare i loro fondi.

Krauss cita altri segnali d'allarme: persone che spingono gli utenti su WhatsApp, che li contattano da indirizzi email personali come Gmail, che esigono pagamenti anticipati o che chiedono loro di aprire conti su un exchange. Non è insolito che le imprese di recupero fatturino una percentuale dei fondi recuperati con successo; ma pagare in anticipo qualcuno che promette di recuperare un wallet dovrebbe far scattare un campanello d'allarme.

Il caso Rusty insegnò a Brooks un'altra lezione: mentre il recupero crypto può sembrare un lavoro puramente tecnico, una persona convinta di possedere milioni o miliardi di dollari può essa stessa costituire un rischio per la sicurezza. Crypto Asset Recovery non vola più incontro ai clienti di persona; l'azienda ora gestisce i casi in remoto, con le informazioni sensibili sui wallet elaborate tramite sistemi automatizzati e air-gapped.

Brooks afferma che circa il 71% dei wallet che violano contiene meno di 100 dollari e che l'azienda non applica tariffe per il recupero di asset sotto tale importo.

Se c'è una cosa che vorrebbe che gli utenti di crypto sapessero sul recupero degli asset, è questa: "Imparate che cos'è, accidenti, una seed di recupero e perché è importante. È il modo più semplice per essere certi di non dover mai parlare con noi."

Magazine: Il mistero su come mai un OG ha bruciato 1 milione di dollari in Bitcoin