$4,4 mln strat z powodu zeszłorocznego naruszenia bezpieczeństwa LastPass

Wyciek LastPass doprowadził do tego, że ofiary straciły miliony dolarów w kryptowalutach. 25 października 2023 roku około 25 ofiar straciło 4,4 mln dolarów w wyniku ataku na LastPass. Nie jest jasne, jaki konkretnie exploit został użyty w tym przypadku; badacze powiązali jednak zdarzenie z naruszeniem bezpieczeństwa.

Nie wiadomo również, czy LastPass wydał oficjalne oświadczenia dotyczące exploita lub podjął działania w celu rozwiązania problemu. Ofiarom ataku zalecono jednak wysłanie wiadomości prywatnej z haszami transakcji dotyczących kradzieży, jeśli podejrzewają, że mogły zostać dotknięte. Na dzień 30 października 2023 roku łączna kwota strat spowodowanych naruszeniem LastPass była szacowana na 44 mln dolarów.

Co się wydarzyło

W grudniu 2022 roku LastPass poinformował, że atakujący użył informacji wcześniej skradzionych w sierpniowym ataku, aby zaatakować pracownika LastPass. Haker przechwycił jego dane uwierzytelniające i odszyfrował przechowywane informacje o klientach.

Skradziono również kopię zapasową zaszyfrowanych danych klientów, którą LastPass ostrzegł można było odszyfrować, jeśli atakujący metodą brute force odgadnie hasło główne konta.

W poście na blogu we wrześniu dziennikarz ds. cyberbezpieczeństwa Brian Krebs poinformował, że niektóre sejfy klientów LastPass najwyraźniej zostały naruszone, a z około 150 ofiar skradziono kryptowaluty o wartości ponad 35 mln dolarów.

W styczniu LastPass został pozwany w pozwie zbiorowym przez osoby twierdzące, że atak z sierpnia 2022 roku doprowadził do kradzieży Bitcoin o wartości około 53 000 dolarów w bitcoinach (BTC).

W swoim najnowszym poście X ZachXBT poradził każdemu, kto kiedykolwiek przechowywał wstępną wartość portfela lub klucz prywatny w LastPass, aby „natychmiast przenieść swoje aktywa kryptowalutowe”.

„Nie mogę tego wystarczająco podkreślić: jeśli myślisz, że kiedykolwiek przechowywałeś swoją frazę początkową lub klucze w LastPass, natychmiast przenieś swoje aktywa kryptowalutowe” — napisał ZachXBT (@zachxbt) 27 października 2023 roku.

Podsumowanie

Atak na LastPass umożliwił nieautoryzowany dostęp do kont użytkowników, co doprowadziło do dużych strat w kryptowalutach u właścicieli, którzy przechowywali w aplikacji klucze do portfeli i frazy seed.

Hakerzy konkretnie atakowali frazy początkowe i klucze, twierdząc, że ich głównym celem była kradzież kryptowalut.

Ponadto w profilach ofiar z tego roku widać niepokojące podobieństwa.