По Tp-link'ам никто не думал собрать пины из fullflash (полный дамп прошивки), что выложены в сети? При восстановлении роутера прошивкой чужого fullflash, максимум еще восстанавливают свой mac адрес, а пин не меняют.

PIN начинается с адреса 0х1FE00. Длина 8 байт. Pin хранится в юникоде, поэтому к примеру pin 11223344, в прошивке будет выглядеть так 3131323233333434