Eksperci ds. bezpieczeństwa twierdzą, że niektóre ze skarbców haseł LastPass skradzionych podczas naruszenia bezpieczeństwa pod koniec 2022 r. zostały obecnie złamane w następstwie serii sześciocyfrowych napadów na kryptowaluty. Bloger zajmujący się cyberbezpieczeństwem Briana Krebsa donosi, że kilku badaczy zidentyfikowało „wysoce wiarygodny zestaw wskazówek”, które pozornie łączą ponad 150 ofiar kradzieży kryptowalut z usługą LastPass. Łącznie do tej pory skradziono ponad 35 milionów dolarów w kryptowalutach, a od grudnia 2022 r. każdego miesiąca dochodzi do od dwóch do pięciu napadów o dużej wartości.
Taylora Monahanagłówny menedżer produktu w firmie MetaMask zajmującej się portfelami kryptowalutowymi i jeden z kluczowych badaczy badających ataki, doszedł do wniosku, że wspólnym wątkiem łączącym ofiary było to, że wcześniej korzystali z LastPass do przechowywania „frazy początkowej” – prywatnego klucza cyfrowego wymaganego do uzyskania dostępu do inwestycji w kryptowaluty. Klucze te są często przechowywane w zaszyfrowanych usługach, takich jak menedżery haseł, aby uniemożliwić złym podmiotom uzyskanie dostępu do portfeli kryptowalutowych. Skradzione środki zostały również przeniesione na te same adresy blockchain, co jeszcze bardziej powiązało ofiary.
Usługa zarządzania hasłami LastPass doświadczyła dwóch znanych naruszeń bezpieczeństwa Sierpień I Listopad w zeszłym roku, gdy hakerzy wykorzystali informacje uzyskane podczas pierwszego naruszenia, aby uzyskać dostęp do udostępnionej pamięci masowej w chmurze zawierającej klucze szyfrujące klienta na potrzeby kopii zapasowych skarbca podczas drugiego incydentu. Skontaktowaliśmy się z LastPass, aby potwierdzić, czy którykolwiek ze skradzionych magazynów haseł został złamany i zaktualizujemy tę historię, jeśli otrzymamy odpowiedź.
W oświadczeniu do KrawędźDyrektor generalny LastPass, Karim Toubba, mówi, że naruszenie bezpieczeństwa w listopadzie ubiegłego roku pozostaje „przedmiotem toczącego się dochodzenia prowadzonego przez organy ścigania, a także jest przedmiotem toczącego się postępowania sądowego”. Firma nie podała, czy naruszenia LastPass w 2022 r. mają cokolwiek wspólnego ze zgłoszonymi kradzieżami kryptowalut.
Badacz Nick Bax, dyrektor ds. analityki w firmie Unciphered zajmującej się odzyskiwaniem portfeli kryptowalutowych, również przejrzał dane dotyczące kradzieży i zgodził się z wnioskami Monahana w wywiadzie dla KrebsOnSecurity:
„Jestem na tyle pewna, że jest to prawdziwy problem, że namawiam moich przyjaciół i rodzinę korzystających z LastPass do zmiany wszystkich haseł i migracji wszelkich kryptowalut, które mogły zostać ujawnione, mimo że doskonale zdaję sobie sprawę, jakie to nudne. ”
