Forensik - Datenträger eines Verstorbenen - Nadel im Heuhaufen

Fragen
,
1

Bitte nutze die :magnifying_glass_tilted_left: Suchfunktion bevor du eine Frage stellst!

Hallo zusammen,

stellt euch vor ihr kommt an Datenträger eines Verstorbenen. Auf dem Bett liegt ausgedruckt das Bitcoin-Zeichen. In der 2-Zimmer-Wohung sind 4,5 Tonnen „Müll“ (Papier, markierte Finanzbücher, Ordner mit Aktienberichten usw.), die entsorgt werden. Es gibt keine leiblichen Erben. In der Wohnung findet ihr den Zettel „Ich finde meine Bitcoin nicht mehr“. :face_with_peeking_eye: Nein, kein Groschenroman, sondern der Auftakt meiner Frage.

Liebe Leute, ich habe hier Datenträger und einen PC von diesem sehr alten verstorbenen Mann. Ich bin dabei die sogenannte „Nadel im Heuhaufen“ zu suchen. Ich bitte um eure Hilfe und wer mir den entscheidenden technischen Hinweis liefert, worauf ich hoffentlich meinen Schatz heben kann, der bekommt selbstverständlich etwas transferiert. :upside_down_face:

Jetzt ein paar mehr Infos: Ich habe diverse USB-Sticks, zwei Festplatten (bei einer fehlt das Netzteil, schon bestellt) und einen PC (Kaltgerätestecker fehlt und ich hab nur Laptops, auch schon bestellt). Die USB-Sticks und die eine Festplatte habe ich zunächst versucht mit kostenlosen Images zu sichern und dann mit dem Programm Autopsy zu untersuchen. Ich habe dabei schon einen Report je Datenträger mit Datentypen, Bezeichnungen und auch gelöschten Dateien. Schwierig ist an dem Fall, dass der Mann eigentlich seine gesamte Freizeit vorm PC verbrachte und wüst Datenmaterial rund um Börse, Politik und Finanzverbrechen sammelte. Er druckte gerne aus und scannte wieder ein. Die Dateienbezeichnung ist erratisch. Die Keyword-Suche nach typischen Wallet-Dateien, BTC usw. habe ich durchgeführt mit keinerlei brauchbarem Ergebnis (ein paar Fotos vom Bitcoin, Word-Dateien, wo man händisch den Kurs reinschreiben kann nach Ausdruck). :rofl: Meine Güte, meine Familie fuhr heute Eisessen, aber ich sitze vorm Bildschirm wie ein Irrer und kann es nicht lassen die Forensik durchzuführen. Ich wollte meinen KI Agenten schon auf das Thema lassen und die Daten einfach diesen fressen lassen, aber ich glaube die Anzahl an Token übersteigt mein Budget. Einschicken will ich die Datenträger natürlich nirgends, kann sein, dass nichts drauf ist und ich will ja schließlich keine Keys aus der Hand geben.

Habt ihr Vorschläge für kostenlose Software, für einen sinnvollen Prozess das ganze anzugehen? Habt ihr sonst Ideen, wie ich damit umgehen soll? Ich will nicht enden wie der Typ, der auf der Müllhalde seine BTC suchen wollte…

2

Vielleicht hat er sich noch einen letzten Scherz erlaubt.

3

Hm, warum sollte jemand, der seine BTC-Schlüssel nicht mehr findet, ein ausgedrucktes Bitcoin-Zeichen auf sein Bett legen und auf einen Zettel „Ich finde meine Bitcoin nicht mehr“ schreiben?. Ich denke, das wird wohl das letzte sein, woran man in so einer Situation durch sich selbst schriftlich erinnert zu werden braucht Es sei denn höchstens, der Mann hatte beginnenden Alzheimer.

4

Das habe ich tatsächlich überflogen.

5

Nicht nur auf die Datenträger fokussieren, sondern auch auf das Papier, Notizbücher, Kontoauszüge etc.
Vielleicht finden sich da ja Hinweise auf Börsen, Passwörter, Keys, Zahlungen an Börsen…

6

Und wenn es so wäre, würde ich ihn sofort lesen :sweat_smile:

Wenn man davon ausgeht, dass der Bitcoin Kauf schon lange her ist, würde ich nach einem private Key in einem digitalem Dokument suchen, damals hat man wohl den Schlüssel einfach so am PC eingetippt :face_with_peeking_eye: Es sollte eine Zeit dauern jedes Word / Editor Dokument aufzurufen, aber wenn man weiß, wie ein (Roh-) Private Key aussieht, könnte es sich lohnen.

Wenn es um neuer gekaufte Bitcoin geht, würde ich nach einer Hardwarewallet oder einem Papierdoument mit den 12-24 Wörtern suchen.

Cloud Speicher wie Google Drive könnte man auch berücksichtigen, vielleicht sind dort Backup Dateien gespeichert.

Wenn er paranoid oder kryptografisch interessiert war, hat er vielleicht ein Dokument mit seinem Schlüssel in einem 7zip Archiv verschlüsselt und dann von dem Archiv die Dateiendung gelöscht, sodass man nicht mal mehr erkennen kann um welche Art von Datei es sich handelt. Oder er hat die 24 Wörter mitten in eine 24GB große Datei geschrieben… oder oder oder :person_shrugging:

Ich würde versuchen mit KI Ideen zu sammeln wo die Wörter sein könnten, vielleicht kann man mit KI auch ein einfaches Programm schreiben, dass alle Dateien auf bestimmte Zeichenfolgen oder die Seed-Phrase-Wörter absucht.

Aber wenn man keine Ahnung hat, seit wann er Bitcoin hat, wie viel diese Wert sein könnten und ob es nicht doch ein letzter Scherz war und er nie welche hatte, würde ich nicht mehr wie ein paar Tage Zeit investieren.

7

Also suchst Du die Seedwörter?

Kann man sich nicht etwas basteln, dass nach jedem Wort der Bip-39 alles durchsucht

8

Könnte man irgendwie die Private Key Struktur „isolieren“ und einen Scan laufen lassen, der alles automatisch rausfiltert, was vom String ein private key sein könnte oder gibts da nicht viel und man würde hunderttausende schnippsel bekommen die entfernt ein key sein könnten?

Was ich sonst noch suchen würde wären defintiv alle Kontoauszüge, um zu schauen ob da etwas in die Richtung erkennbar ist und es Summen sind bei denen sich ne Suche lohnt.

9

Ich glaube die alten Keys haben eine bestimmte länge und fangen mit 1 oder 3 an, bin mir da aber nicht mehr ganz sicher, habe das nur gelesen, sonst sind es zufällige Buchstaben und Zahlenkombinationen, mit Ausnahme ein paar Zeichen.

Also ist nicht ganz so einfach wie nach bc1q… zu suchen :sweat_smile:

10

Frühe Bitcoiner sollen angeblich ihre Keys auf DVDs gebrannt haben. Weil es länger haltbar sein soll als USB-Sticks und Festplatten. Zumindest soll das Satoshi selbst so gemacht haben. Vielleicht wäre das etwas, wonach es sich lohnen würde Ausschau zu halten.

11

Gibt dafür natürlich auch Software.

Hier eine Übersicht welche mir ausgespuckt wurde:

12

Spannender Thread. Ich drück dir alle Daumen.

13

Scheint fast so. Aber sein Browserverlauf zeigt, dass er täglich den Kurs checkte :rofl:

14

Das hatte er tatsächlich. Der hat dann begonnen sich für alles Zettel zu schreiben.

15

Ich danke euch schon Mal für eure Unterstützung und freue mich, wenn noch mehr Ideen kommen. Jedenfalls werde ich Schritt für Schritt die einzelnen Vorschläge abarbeiten. :saluting_face: Gleichzeitig will ich euch auf dem Laufenden halten, weil es einfach unglaublich spannend ist. Früher wären wir vor ein paar Hundert Jahren mit einer Schatzkarte in der Hand auf ein Schiff gegangen und losgesegelt. Heute läuft die Schatzsuche halt anders :pirate_flag: Und hier noch ein Bild, wie der gute Mann (verstorben mit über 80) über einen Artikel von PlanB dachte, der für 2021 den BTC-Preis bei 135.000 $ sah… Ich suche die ganze Zeit und finde höchstens so ein Zeug. Ach ja, bis jetzt ist die „heißeste“ Spur der PC - kein Passwort und zumindest gibt die Suche nach „wallet“ die bei Microsoft Edge integrierte allgemeine Wallet aus, die auch Krypto kann. Ich habe jetzt mal Microsoft Edge gesichert und versuche dort was auszulesen. Leider ist er nicht mit einem Microsoft-Account im Browser angemeldet, ob ich somit an irgendwelche Logins komme, weiß ich nicht. Ob der überhaupt diese Wallet (ist eher für Kreditkartendaten und IBANs bei automatischem Checkout) verwendete, weiß ich auch noch nicht. Bleibt spannend.

5395828016413350782_121
5395828016413350782_1211280×960 139 KB

16

Ich würde einen OpenClaw Agenten auf einem Pc installieren und diesen alle Datenträger durchsuchen lassen. Die nötige investition wäre eine potente Grafikkarte für die nötige Rechenleistung. Eine Rtx 3090 mit 24gb Ram sollte um die 1000€ zu haben sein.

Damit hast du zumindest den digitalen Teil sehr gut abgedeckt.

17

Leider sind alle Papierunterlagen und weiteren Datenträger schon entsorgt, es konnte nur gerettet werden, was ich zu Hause habe. Drei defekte alte HDDs gibt es noch, aber die sind von vor 2011. Es ist unwahrscheinlich, dass der Mann damals schon BTC besaß, da erste Hinweise auf den anderen Datenträgern erst 2018 zu verzeichnen sind. Danke trotzdem für den Hinweis.

18

Update: Die Edge-Suche: Ein Krimi in fünf Akten ohne Leiche.

Wir fanden Microsoft Edge 140 mit einem Profil mit dem Namen des Verstorbenen, sauber eingerichtet, kein Sync, zwei unscheinbare Addons. Die History war der Hammer: 33 URLs. Das schreit nach manueller Löschung – entweder war der Verstorbene ein sehr disziplinierter Mensch, oder er hatte etwas zu verbergen. Was er nicht versteckt hatte, war Interesse an Bitcoin: "bitcoin", "btc usd", "btc/eur" bei Bing und tagesschau-Kursen, ein Klick auf eine Plus500-Werbung und regelmäßige Besuche von finanzen.net, ariva.de und der boerse-muenchen.de.

Dann der große Moment: edge://wallet – das browserinterne Wallet. Site Engagement zeigte pointsAddedToday: 2.1, rawScore: 2.1. Er hat es tatsächlich aufgerufen, mehrfach. Aber dann: nichts. Keine gespeicherten Logins, keine Kreditkarten, keine Passwörter, keine Wallet-Erweiterungen (kein MetaMask, kein Phantom). Die Wallet-Konfiguration lag als Base64-Blob in den Preferences – verschlüsselt, unknackbar ohne Edge-Prozess.

Die versteckten Sessions-Archive spuckten noch ein paar Brocken aus: Kryptowährungen | aktuelle Kurse und Preise | finanzen.net , den Plus500-Klick über Bing-Ads und jede Menge „Silent authentication was denied" von Microsoft. Die Session-Versuche waren alle tot – kein aktueller Tab, keine wiederherstellbare Sitzung.

Dann die Wallet-Treffer-Ordner: 273 Dateien, 92,7 % Edge-Komponenten, 6,6 % Windows-DLLs, 0,7 % Microsoft-Wallet-Leercontainer. Eine einzige settings.dat mit Potenzial entpuppte sich als leere Registry-Hive von 2019 – das Microsoft Wallet war nie konfiguriert worden.

Das Ende vom Lied: Der Mann hat nach Bitcoin gesucht, Kurse gecheckt, wahrscheinlich von Krypto geträumt – aber ob er je ein Wallet besessen hat, bleibt nach Edge-Datenlage völlig offen.

Ich segle weiter :rofl: :pirate_flag: dieses Mal zu den Backups auf dem PC…

19

Nach den Erzählungen klingt das alles nicht so wahnsinnig gesund. Einerseits besessen(tägliche Notizen), anderseits „verliert“ er dann einfach seine BTC? Gibt es konkrete Hinweise (Kontauszüge, usw.) das da mal was in der Richtung Krypto passiert ist, bzw. liegt sonst Vermögen vor? Das kann sonst schnell eine Endlosgeschichte werden, selbst wenn am Ende was auftaucht könnten das immer noch ein verschlüsseltes Wallet ohne auffindbares Passwort oder halt nur ein paar Satoshis sein.

20

Update: Laut Nachbarn und Bekannte des Verstorbenen war dieser seine ganze Freizeit am PC und verbrachte damit das Börsengeschehen zu verfolgen und zu dokumentieren. Der Nachlassverwalter fand - angeblich - keine Bankguthaben oder Vermögen. Es wurde vermutet, dass der Verstorbene Goldmünzen haben könnte. Ob sich jemand beim erstmaligen Zutritt in die Wohnung bereicherte, kann ich nicht sagen, da ich nicht dabei war. Jedenfalls wurde kein Vermögen gefunden. Daher die Vermutung, dass auf den Datenträgern Zugänge zu Depots oder BTC vorhanden sein könnte.