Ein vergessenes Passwort zu einer alten Blockchain.info-Wallet muss nicht bedeuten, dass die Gelder verloren sind. Für Kunden, die vor Jahren eine Wallet angelegt und das Passwort verloren oder teilweise vergessen haben, ist die GPU-beschleunigte Brute-Force-Wiederherstellung eine legitime und oft erfolgreiche Option – vorausgesetzt, die Suche wird um ein realistisches Modell dessen aufgebaut, was die Person wahrscheinlich eingegeben hat, statt blind jede denkbare Kombination durchzuprobieren.
Wie eine Wiederherstellung tatsächlich aussieht
Ein kürzlicher Fall nahm rund eine Woche durchgehender Rechenzeit auf einer einzigen handelsüblichen GPU in Anspruch. Über die gesamte Wiederherstellung hinweg arbeitete sich der Prozess durch weit über eine Milliarde Passwort-Kandidaten, getestet in wachsenden Batches, denn eine rein zufällige Suche in dieser Größenordnung würde praktisch ewig dauern. Die entscheidenden Batches werden aus dem aufgebaut, woran sich der Kunde erinnert – Teilphrasen, wahrscheinliche Wörter, gängige Ersetzungen und Tippfehler –, nicht durch das Durchprobieren beliebiger Zeichen.
Warum GPU-Beschleunigung entscheidend ist
Blockchain.info- und Blockchain.com-Wallets nutzen eine PBKDF2-Schlüsselableitung mit einer nennenswerten Anzahl an Iterationen, die absichtlich langsam zu berechnen ist – genau das ist der Sinn des Designs, denn es macht Brute-Force teuer. Die Suche auf einer Grafikkarte statt auf einer CPU laufen zu lassen, ist mehr als zehnmal so schnell, weil sich derselbe sich wiederholende Ableitungsschritt gut über die Architektur einer GPU parallelisieren lässt. Die dafür nötige Hardware kostet ein paar tausend Dollar und ist nicht besonders exotisch, verwandelt aber eine mehrjährige Suche in eine, die nur wenige Tage dauert.
Wo die eigentliche Arbeit stattfindet
Die beteiligten Hardware- und Software-Werkzeuge, die größtenteils auf dem Open-Source-Projekt btcrecover aufbauen, sind nicht der schwierige Teil. Die eigentliche Kunst liegt im Erstellen der Token-Liste – der Menge an Wörtern, Phrasen und wahrscheinlichen Varianten, die die Suche durchprobiert – eng genug gefasst, damit der Prozess in Stunden oder Tagen statt in Jahrhunderten abgeschlossen ist, aber breit genug, um abzudecken, was der Kunde realistischerweise eingegeben haben könnte.
- Den Kunden zu jeder bruchstückhaften Erinnerung an das Passwort befragen – Wörter, Zahlen, eine Phrase, ein Muster, das er tendenziell wiederverwendet.
- Aus diesen Fragmenten eine Token-Liste erstellen, einschließlich wahrscheinlicher Groß-/Kleinschreibungs- und Ersetzungsvarianten.
- Häufige Tippfehlermuster einbauen – ausgelassene, vertauschte, doppelt getippte oder eingefügte Zeichen –, denn auch echte Passwörter werden selten schon beim ersten Mal fehlerfrei eingegeben.
- Die Suche mit GPU-Beschleunigung ausführen und die geschätzte Fertigstellungszeit verfolgen, während sich die Kandidatenmenge erweitert.
- Die Suche mit einer immer größeren Kandidatenmenge neu berechnen, wenn der erste, enger gefasste Durchlauf keinen Treffer liefert.
Die Erfolgsquote bei dieser Art von Wiederherstellung hängt fast ausschließlich davon ab, wie viel sich der Kunde tatsächlich an das Passwort erinnert – nicht von der reinen Rechenleistung. Eine gut aufgebaute Token-Liste aus einer Handvoll echter Erinnerungen schlägt eine Brute-Force-Suche über den vollständigen Zeichenraum um Größenordnungen.
Was dieser Ansatz nicht abdeckt
Dieser Ansatz funktioniert speziell für ein vergessenes oder teilweise erinnertes Passwort zu einer Wallet-Datei, auf die der Kunde weiterhin rechtmäßigen Zugriff hat – nicht für eine Wallet, bei der der Zugriff vollständig verloren ging, oder bei der eine Seed-Phrase statt eines Passworts das fehlende Puzzleteil ist. Eine Wallet, die mit einem vollständig zufälligen, nicht erinnerten Passwort gesichert ist, ist unabhängig von der Hardware in keinem praktikablen Zeitrahmen ein realistisches Brute-Force-Ziel.
Warum das über das technische Detail hinaus wichtig ist
Alte Blockchain.info-Wallets aus der Zeit von 2013 bis 2017 sind eine häufige Quelle für feststeckenden Wert – Konten, die früh angelegt, dann vergessen wurden und auf die man sich nun beim genauen Passwort nicht mehr sicher zugreifen kann. Zu wissen, dass eine Wiederherstellung realistisch möglich ist und ungefähr wie lange sie dauert, verändert die Rechnung für viele Menschen, die auf Geldern sitzen, die sie sonst vollständig abgeschrieben hätten.