Un mot de passe oublié sur un ancien portefeuille Blockchain.info ne signifie pas forcément que les fonds sont perdus. Pour des clients ayant créé un portefeuille il y a des années et perdu ou partiellement oublié le mot de passe, la récupération par force brute accélérée par GPU est une option légitime et souvent efficace, à condition que la recherche soit construite autour d’un modèle réaliste de ce que la personne a vraisemblablement tapé, plutôt qu’une tentative aveugle de toutes les combinaisons possibles.
À quoi ressemble réellement la récupération
Un cas récent a demandé environ une semaine de calcul continu sur un seul GPU grand public pour aboutir. Sur l’ensemble de la récupération, le processus a parcouru bien plus d’un milliard de candidats de mot de passe, testés par lots croissants, car une recherche purement aléatoire à cette échelle prendrait, en pratique, une éternité. Les lots qui comptent sont construits à partir de ce dont le client se souvient, des expressions partielles, des mots probables, des substitutions et fautes de frappe courantes, pas en parcourant des caractères arbitraires.
Pourquoi l’accélération GPU compte
Les portefeuilles Blockchain.info et Blockchain.com utilisent une dérivation de clé PBKDF2 avec un nombre d’itérations significatif, volontairement lente à calculer, c’est précisément l’objectif de cette conception, puisqu’elle rend la force brute coûteuse. Exécuter la recherche sur une carte graphique plutôt que sur un CPU est plus de dix fois plus rapide, car cette même étape de dérivation répétitive se parallélise bien sur l’architecture d’un GPU. Le matériel nécessaire coûte quelques milliers de dollars et n’a rien de particulièrement exotique, mais il transforme une recherche de plusieurs années en une recherche de quelques jours.
Où se situe le véritable travail
Le matériel et les outils logiciels utilisés, largement construits sur le projet open source btcrecover, ne sont pas la partie difficile. La véritable compétence réside dans la construction de la liste de jetons, l’ensemble de mots, d’expressions et de variantes probables que la recherche va tester, suffisamment ciblée pour que le processus se termine en heures ou en jours plutôt qu’en siècles, tout en restant assez large pour couvrir ce que le client aurait pu réellement taper.
- Interroger le client sur chaque souvenir partiel du mot de passe, mots, chiffres, une expression, un motif qu’il a tendance à réutiliser.
- Construire une liste de jetons à partir de ces fragments, en incluant les variantes probables de majuscules et de substitutions.
- Ajouter les schémas de fautes de frappe courants, suppressions, caractères intervertis, touches répétées, caractères insérés, puisque les vrais mots de passe sont rarement tapés parfaitement du premier coup non plus.
- Lancer la recherche avec accélération GPU, en suivant le temps estimé jusqu’à la fin à mesure que l’ensemble de candidats s’élargit.
- Relancer la recherche avec un ensemble de candidats encore plus large si la première passe, plus restreinte, ne produit pas de correspondance.
Le taux de réussite de ce type de récupération dépend presque entièrement de ce dont le client se souvient réellement du mot de passe, pas de la puissance de calcul brute. Une liste de jetons bien construite à partir de quelques vrais souvenirs surpassera une recherche par force brute sur tout l’espace de caractères, et ce, de plusieurs ordres de grandeur.
Ce que cette méthode ne couvre pas
Cette approche fonctionne spécifiquement pour un mot de passe oublié ou partiellement mémorisé sur un fichier de portefeuille auquel le client a toujours légitimement accès, pas pour un portefeuille dont l’accès a été perdu entièrement, ou pour lequel c’est une seed phrase, et non un mot de passe, qui manque. Un portefeuille sécurisé par un mot de passe entièrement aléatoire et non mémorisé n’est pas une cible réaliste de force brute dans un délai raisonnable, quel que soit le matériel utilisé.
Pourquoi cela compte au-delà du détail technique
Les anciens portefeuilles Blockchain.info datant de la période 2013-2017 sont une source fréquente de valeur bloquée, des comptes que des gens ont créés tôt, oubliés, et auxquels ils ne peuvent plus accéder avec certitude quant au mot de passe exact utilisé. Comprendre que la récupération est réellement possible, et à peu près combien de temps elle prend, change le calcul pour beaucoup de personnes assises sur des fonds qu’elles auraient sinon considérés comme définitivement perdus.