Eine MultiBit-Wallet von 2015, ein vergessenes Passwort, kein Zugang mehr. Wir zeigen an einem echten Fall, wie unser SMarTrPenTester die Wiederherstellung angeht, was dabei realistisch ist und wo die Grenze verläuft. Ehrlich, ohne Heilsversprechen.
➜ Video direkt ansehen · Länge 105 Sekunden · SMarTrPenTester erklärt den Fall
Der Moment, in dem der Zugang weg ist
Es gibt diesen einen Moment. Du findest eine alte Datei, einen alten Ordner, vielleicht einen USB-Stick aus einer Schublade, und darauf liegt eine Wallet von vor Jahren. Bitcoin war damals ein Bruchteil wert, du hast eine Kleinigkeit gekauft und das Ganze vergessen. Jetzt willst du hinein, tippst das Passwort ein, das du für sicher hieltest, und es passt nicht. Noch ein Versuch. Wieder nichts. Das Passwort ist weg, und mit ihm scheinbar alles dahinter.
Genau dieser Fall lag bei uns auf dem Tisch. Eine MultiBit-Classic-Wallet von 2015, ein Programm, das es längst nicht mehr gibt, mit einem Passwort, an das sich niemand mehr erinnerte. Kein Support, keine Rücksetzfunktion, keine E-Mail mit einem Link. Bei einer selbstverwalteten Wallet gibt es niemanden, den man fragen kann. Das ist der Preis der Unabhängigkeit und gleichzeitig ihre größte Falle.
Wir haben diesen Fall mit unseren KI-Agenten bearbeitet, und weil es genau die Art Aufgabe ist, bei der viele Menschen allein nicht weiterkommen, erzählen wir hier, wie wir vorgegangen sind. Nicht als Anleitung zum Nachhacken fremder Konten, das wäre strafbar und ist nicht unser Thema. Sondern als ehrlicher Bericht darüber, was bei einer eigenen, vergessenen Wallet technisch möglich ist.
Warum ein vergessenes Wallet-Passwort kein verlorenes Passwort sein muss
Erst die gute Nachricht, und sie gilt nur unter einer Bedingung. Solange du die Wallet-Datei noch hast, ist der Fall nicht hoffnungslos. Bei MultiBit sind das kleine Dateien mit Endungen wie `.wallet`, `.key` und `.info`. In diesen Dateien steckt dein privater Schlüssel, aber verschlüsselt. Das Passwort ist der Schlüssel zum Schlüssel.
Und jetzt der Unterschied, auf den es ankommt. Es gibt zwei völlig verschiedene Notlagen, die im Alltag ständig verwechselt werden:
Passwort vergessen, Datei vorhanden. Der private Schlüssel ist da, nur hinter einem Passwort. Hier lässt sich arbeiten. Ein vergessenes Passwort ist ein Rechenproblem, kein Weltuntergang.
Wallet-Datei verloren oder Seed weg. Wenn die Datei selbst fehlt und du auch die Wiederherstellungswörter, den sogenannten Seed, nicht mehr hast, dann ist der Zugang in aller Regel wirklich unwiederbringlich. Kein Werkzeug der Welt errät zwölf zufällige Wörter aus dem Nichts. Das ist Mathematik, keine Frage des Aufwands.
Der Fall, von dem wir hier sprechen, war der erste. Datei da, Passwort weg. Das ist der Fall, bei dem sich Arbeit lohnt.
Wie SMarTrPenTester die Wiederherstellung angeht
Unser Sicherheitsagent SMarTrPenTester ist eigentlich dafür da, die eigene Plattform von außen anzugreifen, bevor es ein Fremder tut. Genau dieselben Werkzeuge, die Schwachstellen finden, helfen auch dabei, ein vergessenes Passwort auf der eigenen Wallet zurückzuholen. Das Vorgehen in Schritten, so wie es bei uns ablief.
Schritt eins: sichern, bevor irgendetwas passiert. Die erste Regel bei einer alten Wallet lautet, nichts am Original zu machen. Wir haben zuerst eine Kopie aller Wallet-Dateien angelegt und den Rest ausschließlich an der Kopie gearbeitet. Wer an der einzigen vorhandenen Datei herumprobiert und sie beschädigt, verliert unter Umständen den letzten Rettungsanker. Sichern kostet nichts und schützt vor dem teuersten Fehler.
Schritt zwei: den Prüfwert herauslösen. Aus der Wallet-Datei lässt sich der verschlüsselte Teil in eine Form bringen, mit der ein Wiederherstellungswerkzeug rechnen kann, einen sogenannten Hash. Für MultiBit-Classic gibt es dafür einen festen Weg. Dieser Hash verrät noch nicht das Passwort, er ist nur der Prüfstein, an dem sich jeder Rateversuch messen lässt.
Schritt drei: klug raten statt blind probieren. Jetzt kommt das eigentliche Werkzeug ins Spiel, ein Programm namens hashcat, das auf der Grafikkarte läuft und Millionen Passwörter pro Sekunde durchprobieren kann. Für MultiBit gibt es dort einen eigenen Modus. Der entscheidende Punkt ist aber nicht die rohe Geschwindigkeit, sondern die Klugheit. Niemand probiert wirklich alle Zeichenkombinationen durch, das würde bei einem längeren Passwort das Alter des Universums sprengen. Stattdessen arbeitet man mit dem, was über die Person bekannt ist.
Menschen wählen keine zufälligen Passwörter. Sie nehmen einen Namen, ein Geburtsjahr, den Hund von damals, das Lieblingswort mit einer Zahl hintendran, ein großes Anfangs-B statt eines kleinen. Unser Agent baut daraus Wortlisten und wendet Regeln an, die genau diese menschlichen Muster nachbilden. Aus einem erinnerten Bruchstück, etwa dass das Passwort mit dem Namen eines Haustiers begann, werden systematisch tausende plausible Varianten. Das ist der Unterschied zwischen einem Rateversuch, der Jahre dauert, und einem, der über Nacht durchläuft.
Schritt vier: der Mensch bleibt am Ruder. Während die Grafikkarte rechnet, überwacht SMarTrITGott den Lauf, sortiert Ergebnisse und meldet Fortschritt. Aber die wichtigen Entscheidungen trifft immer ein Mensch. Welche Erinnerungsfetzen fließen in die Wortlisten ein, wie lange lässt man einen Ansatz laufen, wann wechselt man die Strategie. Das ist unser Leitgedanke, Mensch mit Maschine. Die Maschine übernimmt die stumpfe Arbeit, der Mensch behält Urteil und Kontrolle.
Was danach kommt, ist der wichtigste Teil
Angenommen, das Passwort taucht auf. Dann ist der Reflex verständlich, sofort in die alte Wallet zu schauen. Doch genau hier passieren die teuersten Fehler, und deshalb ist dieser Abschnitt der wichtigste im ganzen Text.
Eine Wallet aus dem Jahr 2015, ein eingestelltes Programm, ein Passwort, das gerade auf einem vernetzten Rechner wieder sichtbar wurde: Diese Kombination gehört nicht in den Alltag zurück. Wenn tatsächlich noch etwas auf der Wallet liegt, ist der einzig sichere Weg, das Guthaben auf eine frische Wallet zu verschieben, deren privater Schlüssel nie auf einem mit dem Internet verbundenen System sichtbar war. Alte Schlüssel gelten nach so einem Vorgang als verbrannt. Man vertraut ihnen nichts Wertvolles mehr an.
Dazu drei Grundsätze, die wir jedem mitgeben, der uns mit so einem Fall anspricht:
Niemals den privaten Schlüssel oder den Seed irgendwo eintippen, wo er landen könnte. Kein Formular im Netz, keine App, die danach fragt, keine hilfsbereite Nachricht, die verspricht, deine Wallet gegen Vorkasse zu retten. Wer dich nach deinem Seed fragt, will dein Geld, nicht dein Bestes. Das ist ohne Ausnahme so.
Wiederherstellungswörter gehören offline. Auf Papier, an zwei getrennten Orten, niemals als Foto in der Cloud und niemals in einer E-Mail an dich selbst. Ein Seed in der Cloud ist ein Seed, der dir nicht mehr allein gehört.
Vorsicht vor Wiederherstellungsdiensten, die Vorkasse verlangen. Rund um verlorene Wallets ist eine ganze Betrugsbranche gewachsen. Seriös ist, wer nie deinen Seed sehen will und dich niemals in Vorleistung gehen lässt.
Was KI-Agenten für dich tun können, und was nicht
Dieser Fall steht für eine ganze Klasse von Aufgaben. Ein vergessenes Passwort, eine alte Datei, ein Zugang, der verloren scheint. Das begegnet Menschen nicht nur bei Bitcoin, sondern bei verschlüsselten Archiven, bei alten Dokumenten, bei Konten, deren Antworten auf die Sicherheitsfragen niemand mehr weiß. Die Methode dahinter ist immer dieselbe: sichern, den Prüfwert herauslösen, klug statt blind raten, und den Menschen entscheiden lassen.
Was unsere Agenten dabei leisten, ist die geduldige, systematische Arbeit, für die einem Menschen die Zeit und oft auch das Werkzeug fehlt. Was sie nicht können, ist zaubern. Ein wirklich zufälliges, langes Passwort ohne jeden Anhaltspunkt bleibt außer Reichweite, und ein verlorener Seed bleibt verloren. Diese Ehrlichkeit gehört dazu, denn alles andere wäre genau die Art Versprechen, vor der wir oben gewarnt haben.
Wenn du einen ähnlichen Fall hast, eine eigene alte Wallet, ein verschlüsseltes Archiv, ein Zugang, an dem du festhängst, dann sieh dir an, was SMarTrAgents für dich tun kann. Neun KI-Agenten in einem Team, gehostet auf Servern in der EU, zu einem festen Monatspreis. Menschen und Maschine, die zusammen an einer Aufgabe arbeiten, bis der Zugang zurück ist oder bis klar ist, dass er es ehrlich gesagt nicht wird.
Und falls du in genau so einem Moment steckst, dem mit dem Passwort, das nicht mehr passt: Bewahre die Datei auf. Solange sie existiert, ist noch nichts entschieden.
Dieser Beitrag beschreibt die Wiederherstellung einer eigenen, vergessenen Wallet. Der Zugriff auf fremde Wallets, Konten oder Geräte ohne Erlaubnis ist strafbar. SMarTrAgents unterstützt ausschließlich bei eigenen Zugängen.
Mehr dazu: Was kann SMarTrAgents · SMarTrPenTester, dein Sicherheitsagent · KI gegen KI, wie wir uns selbst absichern
A MultiBit wallet from 2015, a forgotten password, no way back in. Using a real case, we show how our SMarTrPenTester approaches recovery, what is realistic, and where the hard limit lies. Honest, with no miracle promises.
➜ Watch the video · Length 105 seconds · SMarTrPenTester explains the case
The moment the access is gone
There is this one moment. You find an old file, an old folder, maybe a USB stick in a drawer, and on it sits a wallet from years ago. Bitcoin was worth a fraction back then, you bought a small amount and forgot the whole thing. Now you want in, you type the password you thought was safe, and it does not fit. One more try. Nothing again. The password is gone, and with it, seemingly, everything behind it.
This exact case landed on our desk. A MultiBit Classic wallet from 2015, a program that has long since disappeared, with a password nobody could remember. No support, no reset function, no email with a link. With a self custodied wallet there is nobody to ask. That is the price of independence and, at the same time, its biggest trap.
We worked this case with our AI agents, and because it is exactly the kind of task where many people get stuck on their own, we describe here how we went about it. Not as a guide to breaking into other people's accounts, that would be a crime and is not our topic. But as an honest report of what is technically possible with your own forgotten wallet.
Why a forgotten wallet password is not the same as a lost one
First the good news, and it holds under one condition only. As long as you still have the wallet file, the case is not hopeless. With MultiBit these are small files with endings like `.wallet`, `.key` and `.info`. Inside them sits your private key, but encrypted. The password is the key to the key.
And now the distinction that matters. There are two completely different emergencies that get mixed up all the time:
Password forgotten, file present. The private key is there, just behind a password. This is workable. A forgotten password is a computing problem, not the end of the world.
Wallet file lost or seed gone. If the file itself is missing and you no longer have the recovery words, the so called seed, then access is usually truly unrecoverable. No tool on earth guesses twelve random words out of nothing. That is mathematics, not a question of effort.
The case we are talking about here was the first. File present, password gone. That is the case where work pays off.
How SMarTrPenTester approaches recovery
Our security agent SMarTrPenTester is really there to attack our own platform from the outside before a stranger does. The very same tools that find weaknesses also help bring back a forgotten password on your own wallet. Here is the approach, step by step, the way it ran for us.
Step one: back up before anything happens. The first rule with an old wallet is to touch nothing on the original. We first made a copy of all wallet files and did everything else on the copy only. Anyone who tinkers with the single existing file and damages it may lose the last lifeline. Backing up costs nothing and protects against the most expensive mistake.
Step two: extract the check value. The encrypted part of the wallet file can be turned into a form a recovery tool can compute with, a so called hash. For MultiBit Classic there is a fixed path for this. This hash does not yet reveal the password, it is only the touchstone against which every guess is measured.
Step three: guess smartly instead of blindly. Now the actual tool comes into play, a program called hashcat, which runs on the graphics card and can try millions of passwords per second. There is a dedicated mode for MultiBit. But the decisive point is not raw speed, it is cleverness. Nobody really tries every character combination, that would blow past the age of the universe for a longer password. Instead you work with what is known about the person.
People do not choose random passwords. They take a name, a birth year, the dog from back then, a favourite word with a number tacked on, a capital B instead of a small one. Our agent builds word lists from this and applies rules that reproduce exactly these human patterns. From a remembered fragment, say that the password started with a pet's name, thousands of plausible variants are formed systematically. That is the difference between a guess that takes years and one that finishes overnight.
Step four: the human stays in charge. While the graphics card computes, SMarTrITGott watches the run, sorts results and reports progress. But the important decisions are always made by a human. Which scraps of memory feed the word lists, how long an approach is allowed to run, when to switch strategy. That is our guiding idea, human with machine. The machine takes on the dull work, the human keeps judgment and control.
What comes next is the most important part
Suppose the password shows up. Then the reflex is understandable, to look straight into the old wallet. Yet this is exactly where the most expensive mistakes happen, which is why this section is the most important in the whole text.
A wallet from 2015, a discontinued program, a password that just became visible again on a networked computer: this combination does not belong back in everyday use. If there really is still something on the wallet, the only safe path is to move the balance to a fresh wallet whose private key was never visible on an internet connected system. Old keys count as burned after such an operation. You trust nothing valuable to them anymore.
On top of that, three principles we give everyone who comes to us with a case like this:
Never type your private key or seed anywhere it could end up. No form on the web, no app that asks for it, no helpful message promising to rescue your wallet for an upfront fee. Anyone who asks for your seed wants your money, not your wellbeing. That is true without exception.
Recovery words belong offline. On paper, in two separate places, never as a photo in the cloud and never in an email to yourself. A seed in the cloud is a seed that is no longer yours alone.
Beware of recovery services that demand upfront payment. A whole scam industry has grown around lost wallets. Trustworthy is whoever never wants to see your seed and never makes you pay in advance.
What AI agents can do for you, and what they cannot
This case stands for a whole class of tasks. A forgotten password, an old file, an access that seems lost. People meet this not only with Bitcoin, but with encrypted archives, old documents, accounts whose security question answers nobody remembers. The method behind it is always the same: back up, extract the check value, guess smartly instead of blindly, and let the human decide.
What our agents contribute is the patient, systematic work for which a human lacks the time and often the tools. What they cannot do is magic. A truly random, long password with no clue at all stays out of reach, and a lost seed stays lost. This honesty is part of the deal, because anything else would be exactly the kind of promise we warned about above.
If you have a similar case, your own old wallet, an encrypted archive, an access you are stuck on, then take a look at what SMarTrAgents can do for you. Nine AI agents in one team, hosted on servers in the EU, at a fixed monthly price. Humans and machine working on a task together, until the access is back or until it is clear that, honestly, it will not be.
And if you are in exactly that moment, the one with the password that no longer fits: keep the file. As long as it exists, nothing is decided yet.
This post describes the recovery of your own forgotten wallet. Accessing other people's wallets, accounts or devices without permission is a crime. SMarTrAgents assists only with your own access.
More on this: What SMarTrAgents can do · SMarTrPenTester, your security agent · AI against AI, how we secure ourselves