Oud apparaat met mogelijke wallet

De meeste crypto die in een nalatenschap wordt gevonden, staat op oude apparatuur: een laptop in een la, een telefoon die “ergens nog aan het laden was”, een externe schijf of een usb-stick. De machine is bewijs en mogelijk de enige weg naar de bezittingen. Behandel hem daarnaar.

Waarom oude apparaten ertoe doen

Toegang tot crypto bestaat vaak uit meerdere onderdelen: een walletprogramma, een bestand, een wachtwoord, een ingelogde sessie of een seed phrase in een document. Oude apparaten bevatten die onderdelen vaak nog precies zoals de eigenaar ze achterliet. Dat “originele beeld” is precies wat later onderzoek mogelijk maakt, en waarom de waarde van een apparaat in de onaangeraakte staat kan liggen, niet in de werkende conditie.

Wat er op het apparaat kan staan

• Walletsoftware, desktop-walletapplicaties, browser-extensies, mobiele walletapps.
• Walletbestanden, bestanden zoals wallet.dat, keystore/JSON-bestanden of appdatamappen met het sleutelmateriaal.
• Back-upbestanden, geëxporteerde back-ups, wachtwoordmanagerdatabases of notitiebestanden met herstelwoorden.
• Aanwijzingen, browsergeschiedenis naar een exchange of walletsite, opgeslagen inlogpagina’s, e-mailconcepten, screenshots van saldi of QR-codes.

Hoe u de machine behandelt

• Zet hem niet onnodig aan, voer geen updates uit en verbind hem niet met internet vóórdat er een plan is. Zet het apparaat waar mogelijk in vliegtuigmodus of haal de netwerkverbinding weg.
• Reset, herinstalleer of wis niets. Een fabrieksreset is de meest destructieve actie voor een crypto-nalatenschap.
• Probeer niet herhaaldelijk wachtwoorden of pincodes, apparaten vergrendelen na enkele pogingen.
• Leg vast wat u ziet zonder geheimen op te tekenen. Fotografeer de buitenkant, het model en (later) de bestandsstructuur, nooit de woorden, sleutels of QR-codes zelf.
• Houd de machine en omgeving ongewijzigd tot de wettelijke vertegenwoordiger beslist wat er onderzocht mag worden. Zie chain of custody en bewijs.
• Bewaar de oplader, kabels en eventuele simkaart bij het apparaat en berg alles droog en veilig op.

Kopieën en de forensische aanpak

Wanneer onderzoek echt nodig is, is de voorkeursmethode een leesbare kopie (image) van de schijf, gemaakt op een technisch verantwoorde manier en onder toezicht. Het origineel blijft intact; op de kopie kunnen walletbestanden, documenten en applicaties worden geïdentificeerd zonder het origineel te wijzigen. Of zo’n kopie nodig is, wordt per geval beslist, het is geen automatische stap.

Welke sporen er kunnen liggen

• Walletprogramma’s en hun bestanden (walletbestanden of keystorebestanden);
• browser-extensies voor wallets en hun instellingen;
• documenten met seed phrases of notities;
• e-mailarchieven met exchange-correspondentie;
• vermeldingen in een wachtwoordmanager;
• ingelogde sessies op websites.

Een vondst is een aanwijzing; pas na verificatie is er sprake van een bevestigd account of een bevestigde wallet.

Wat u ermee doet

• Oude computers en telefoons zijn de meest waarschijnlijke plek voor walletbestanden, seeds, wachtwoorden en 2FA.
• Als de nalatenschap er klaar voor is: een zorgvuldig, gedocumenteerd onderzoek kan deze bestanden vinden en kopiëren zonder ze te veranderen. Omdat een verkeerde stap de enige kopie kan veranderen of vergrendelen, gebeurt dit vaak het beste met professionele hulp, en nooit vóór bevestiging van de bevoegdheid.
• De klassieke fout: opstarten, updaten, synchroniseren of walletsoftware openen, elk kan de enige kopie van het sleutelmateriaal overschrijven of vergrendelen.
• Als er al iets is geopend of gewijzigd: probeer niets meer, lees u heeft al een fout gemaakt met geërfde crypto.
• Tot de bevoegdheid is bevestigd, houdt u het apparaat van netwerken af en laadt of ontgrendelt u het niet onzorgvuldig.

Waarom u niet zelf moet gaan graven

Het openen van walletsoftware, het ontsleutelen van bestanden of het raden van inloggegevens kan de enige kopie van het sleutelmateriaal wijzigen of vergrendelen. Zelfs het lezen van een bestand kan de metadata bijwerken of een synchronisatie starten. De veilige volgorde is: bewaar → identificeer → stel bevoegdheid vast → onderzoek pas daarna, met een gedocumenteerd plan. Een oud apparaat gevonden na een overlijden is een nalatenschapsvraag, geen “computerreparatieklus”, en het is geen reden om geheimen af te geven aan wie dan ook die contact opneemt met een aanbod om het apparaat te “scannen”.

Voor het volledige overzicht van elk walletformat en de bijbehorende diepgaande gids, zie de wallet-formatbibliotheek.