BIP38: офлайн-восстановление забытого пароля — практический разбор

BIP38 — это стандарт, который позволяет шифровать отдельный приватный ключ Bitcoin с помощью парольной фразы. Он часто встречается в бумажных кошельках, распечатанных ключах и старых резервных копиях. Если пароль забыт, но зашифрованный ключ сохранён, восстановление возможно только в офлайн-режиме: перебор гипотез выполняется локально, без обращения к сети Bitcoin. Важно сразу обозначить границу: такие методы применимы к собственным ключам, законному наследованию, аудиту или судебной экспертизе с согласия владельца. Попытка вскрыть чужой ключ без разрешения — это правонарушение.

Что именно защищает BIP38

BIP38 не шифрует seed-фразу целиком и не заменяет современные аппаратные кошельки. Он упаковывает один приватный ключ в формат Base58Check с префиксами 0x0142 или 0x0143. Внутри используются:

• address hash — первые 4 байта двойного SHA-256 от адреса;
• scrypt с параметрами N=16384, r=8, p=8 и длиной вывода 64 байта;
• AES-256 в режиме ECB для шифрования половин ключа;
• для EC-multiply — дополнительная энтропия владельца, номер lot и sequence.

Именно scrypt делает офлайн-перебор дорогим: каждая проверка пароля требует заметного объёма памяти и вычислений. Это не простой SHA-256, который можно миллиардами считать на видеокартах.

Почему офлайн-восстановление вообще возможно

Сам BIP38-ключ содержит всё необходимое для проверки пароля: зашифрованные данные и address hash. Если кандидат в пароль верен, расшифрованные половины складываются в приватный ключ, из него выводится Bitcoin-адрес, и его хеш совпадает с сохранённым. Поэтому не нужен доступ к блокчейну, интернету или серверу. Достаточно изолированной машины и корректной реализации BIP38.

Офлайн-режим также снижает риск утечки: пароль и ключ не покидают ваш компьютер. Но он не отменяет главного ограничения — пространство паролей. Если фраза была длинной и случайной, перебор может быть вычислительно невозможен.

Модель угроз и правовые рамки

Перед началом работы стоит письменно зафиксировать основание: вы владелец ключа, наследник, forensic-специалист с мандатом или исследователь, работающий с синтетическими данными. В юрисдикциях различаются нормы о доступе к криптоактивам, персональным данным и компьютерной информации. Этичная и законная позиция проста: не помогайте третьим лицам обходить защиту без доказанного права. Техническая возможность не равна праву на доступ.

Как оценивают стойкость пароля

Стойкость BIP38-пароля определяется его энтропией, а не длиной в символах. Слабые варианты — даты, имена, популярные фразы, простые замены букв на цифры, один-два дополнительных символа. Такие шаблоны эффективно проверяются словарями и правилами мутаций. Сильные варианты — случайные последовательности от 6–8 слов и более, сгенерированные криптографически стойким способом.

Условно:

• 4–5 случайных слов из большого словаря — потенциально достижимо при значительных ресурсах;
• 6 слов и больше — обычно выходит за пределы разумного бюджета;
• 8+ случайных символов с высокой энтропией — практически неберусь;
• короткий пароль с предсказуемой структурой — главный кандидат на восстановление.

Стратегии офлайн-перебора

На практике применяют не «тупой» полный перебор, а последовательность гипотез:

1. Словарная атака по утечкам, популярным паролям, тематическим словарям.
2. Мутации: регистр, leetspeak, добавление годов, знаков, окончаний.

3. Маски и шаблоны: известная длина, знакомые фрагменты, даты, имена.
4. Комбинаторика: склейка нескольких известных слов.
5. Восстановление по подсказкам: черновики, менеджеры паролей, старые записи, фотографии, резервные копии.
6. Проверка опечаток и раскладок: случайная смена языка, Caps Lock, соседние клавиши.

Все эти стратегии работают только с вашим BIP38-ключом и только на изолированном оборудовании. Чем лучше вы помните структуру пароля, тем выше шанс.

Аппаратные ресурсы и стоимость

BIP38-перебор упирается в scrypt. CPU подходит для небольших словарей и аккуратного последовательного перебора. GPU дают ускорение, но память и энергопотребление ограничивают масштаб. Кластеры и облако увеличивают скорость, однако стоимость часа может быстро превысить ценность ключа. Перед запуском стоит посчитать:

• примерное число кандидатов;
• скорость проверки на доступном оборудовании;
• время на полный проход и вероятность успеха;
• цену электроэнергии, аренды и охлаждения.

Если оценка даёт годы или десятилетия, рациональнее искать другие доказательства пароля, а не наращивать железо.

Инструменты и безопасная практика

Для исследования формата и законного восстановления существуют открытые реализации BIP38, а также инструменты для управляемого перебора, например John the Ripper, Hashcat и btcrecover. Конкретные команды и оптимизации зависят от версии и конфигурации, поэтому здесь важнее принципы:

• используйте только проверенные сборки и читаемый исходный код;
• работайте в изолированной системе без сети;
• храните копии зашифрованного ключа, но не пароля рядом с ним;
• проверяйте контрольные суммы и адрес;
• не отправляйте BIP38-ключ и пароль сомнительным онлайн-сервисам;
• ведите журнал попыток, чтобы не дублировать гипотезы.

Что делать, если пароль найден

После успешного восстановления перенесите средства на новый кошелёк с современной схемой резервного копирования. Старый BIP38-ключ считается скомпрометированным, если он когда-либо попадал в сеть, на чужое устройство или в облако. Создайте новый seed, проверьте восстановление на чистом устройстве и не храните seed и пароль в одном месте. Для крупных сумм разумно использовать multisig или Shamir-разделение.

Как защититься на будущее

BIP38 был полезен для бумажных кошельков, но сегодня лучше применять аппаратные кошельки, стандарты BIP39/BIP32/BIP84, мультиподпись и географически разделённые бэкапы. Если BIP38 всё же нужен, используйте длинную случайную фразу, храните её отдельно от зашифрованного ключа и проверяйте восстановление заранее. Не полагайтесь на память: забытый пароль — это не теоретический риск, а распространённая причина потери доступа.

Итог

Офлайн-восстановление BIP38 возможно, но успех зависит не от «секретного взлома», а от энтропии пароля, качества гипотез и доступных вычислений. Слабые и предсказуемые пароли часто поддаются словарно-правиловому перебору. Сильные случайные фразы делают атаку экономически бессмысленной. Законное восстановление собственных ключей требует изоляции, проверенных инструментов и уважения к праву. Лучшая стратегия — заранее строить резервное копирование так, чтобы забытый пароль не становился точкой невозврата.