4,4 M$ de pertes dues à la violation de LastPass de l’année dernière

Des exploits de LastPass ont entraîné des pertes de plusieurs millions de dollars en cryptomonnaies pour les victimes. Le 25 octobre 2023, environ 25 victimes ont perdu 4,4 millions de dollars à la suite du hack de LastPass. On ne sait pas quel exploit précis a été utilisé dans ce cas ; cependant, des chercheurs l’ont relié à une faille de sécurité.

Il n’est pas non plus clair si LastPass a publié des déclarations officielles concernant l’exploit ou pris des mesures pour résoudre le problème. Toutefois, il a été conseillé aux victimes du hack d’envoyer un message direct avec les hashs de transaction du vol si elles pensent avoir été touchées. Au 30 octobre 2023, le montant total perdu à cause de la faille de LastPass était estimé à 44 millions de dollars.

Ce qui s’est passé

En décembre 2022, LastPass a indiqué qu’un attaquant avait utilisé des informations auparavant volées lors d’un hack en août pour cibler un employé de LastPass. Le hacker a intercepté ses identifiants et déchiffré les informations clients stockées.

Une sauvegarde des données clients chiffrées a également été volée, et LastPass a averti qu’elle pourrait être déchiffrée si l’attaquant parvenait à deviner par brute force le mot de passe principal du compte.

Dans un billet de blog publié en septembre, le journaliste en cybersécurité Brian Krebs a rapporté que certains coffres-forts clients de LastPass semblaient avoir été compromis, avec plus de 35 millions de dollars de cryptomonnaies volés à environ 150 victimes.

En janvier, LastPass a fait l’objet d’un recours collectif intenté par des personnes affirmant que le hack d’août 2022 avait entraîné le vol de Bitcoin d’une valeur d’environ 53 000 dollars (BTC).

Dans son dernier post, X ZachXBT a conseillé à toute personne ayant déjà stocké une phrase de départ de portefeuille ou une wallet value, ou une clé privée dans LastPass de « transférer immédiatement vos actifs crypto ».

« Je ne le dirai jamais assez : si vous pensez avoir déjà stocké votre phrase de départ ou vos clés dans LastPass, transférez immédiatement vos actifs crypto », a conseillé ZachXBT (@zachxbt) le 27 octobre 2023.

Résumé

Le hack de LastPass a permis un accès non autorisé aux comptes utilisateurs, entraînant d’importantes pertes de cryptomonnaies pour les détenteurs qui stockaient leurs clés de portefeuille et phrases de départ dans l’application.

Les hackers ont ciblé spécifiquement les phrases de départ et les clés, en précisant que leur objectif principal était de voler des cryptomonnaies.

De plus, il existe cette année des similitudes inquiétantes dans les profils des victimes.