Я узнал, что можно получить SHA для старых BLOB-объектов, используя
curl https://api.github.com/repos/[ user ]/[ repo ]/events
SHA можно использовать для восстановления определенных коммитов, и все еще можно найти файлы, очищенные из истории git и отправленные в источник. Каждый файл из всех коммитов может быть восстановлен.
Инструменты вроде BFG, похоже, не удаляют эти ссылки. Кроме полного удаления репо и повторной фиксации, как можно удалить все события или все SHA, найденные в ссылках на события? В противном случае, одна фиксация сенсационной информации обрекает весь репо, если не считать решительных вышеупомянутых мер.