Kryptowährungsdiebstähle in Verbindung mit dem 2022 LastPass-Durchbruch

Die Blockchain-Ermittlungsfirma TRM Labs hat die anhaltenden Kryptowährungsdiebstähle mit dem LastPass-Durchbruch im Jahr 2022 in Verbindung gebracht. Berichten zufolge haben die Angreifer Jahre nachdem verschlüsselte Tresore gestohlen wurden, Wallets geleert und die digitalen Vermögenswerte über russische Börsen gewaschen.

Im Jahr 2022 bestätigte LastPass, dass Angreifer seine Systeme durch Kompromittierung einer Entwicklerumgebung durchbrochen hatten. Die Plattform fügte hinzu, dass die Kriminellen Teile des Quellcodes und proprietäre technische Informationen des Unternehmens gestohlen hatten. In einem weiteren verwandten Vorfall nutzten die Hacker die gestohlenen Zugangsdaten, um das GoTo-Cloud-Speicherunternehmen zu kompromittieren und LastPass-Datenbank-Backups zu stehlen, die auf der Plattform gespeichert waren. Für einige Benutzer enthielt der Tresor sowohl gespeicherte Zugangsdaten als auch private Schlüssel und Seed-Phrases von Kryptowährungs-Wallets.

Kryptowährungsdiebstähle in Verbindung mit LastPass-Durchbruch

Während des Durchbruchs behauptete LastPass, seine Tresore seien verschlüsselt. Benutzer mit schwachen oder wiederverwendeten Master-Passwörtern waren jedoch anfällig für Offline-Cracking, was TRM Labs zufolge seit dem Vorfall andauert. „Je nach Länge und Komplexität Ihres Master-Passworts und der Iterationszählungseinstellung möchten Sie möglicherweise Ihr Master-Passwort zurücksetzen“, warnte LastPass, als es den Durchbruch bekannt gab.

Die Verbindung zwischen den LastPass-Durchbrüchen und den Kryptodiebstählen wurde auch vom US-Geheimdienst Secret Service im vergangenen Jahr bestätigt, nachdem die Behörde mehr als 23 Millionen US-Dollar an Kryptowährungen sichergestellt hatte und sagte, die Angreifer hätten die privaten Schlüssel ihrer Opfer durch Entschlüsseln von Tresordaten gestohlen, die bei einem Passwort-Manager-Durchbruch gestohlen wurden. Gerichtsakten erwähnten auch, dass es keine Beweise dafür gab, dass die Geräte der Opfer durch Malware oder Phishing kompromittiert wurden.

In seinem Bericht verband TRM Labs die anhaltenden Krypto-Diebstähle mit dem Missbrauch der im Jahr 2022 gestohlenen verschlüsselten LastPass-Tresore. Statt die Angreifer eilten schnell, um die gesamten Wallets nach dem Durchbruch zu leeren, wurden die Diebstähle in Wellen durchgeführt, Monate oder Jahre nachdem der Vorfall eingetreten war. Es zeigt auch, dass Angreifer Tresore schrittweise entschlüsselt und gespeicherte Zugangsdaten extrahiert haben. Darüber hinaus wurden die Wallets mit ähnlichen Transaktionsmethoden geleert.

TRM Labs erwähnte auch, dass die während des Durchbruchs verwendete Methode zeigte, dass die Hacker die privaten Schlüssel vor den Diebstählen besaßen. „Die Verknüpfung im Bericht basiert nicht auf einer direkten Zuordnung zu einzelnen LastPass-Konten, sondern auf der Korrelation nachgelagerter On-Chain-Aktivitäten mit dem bekannten Auswirkungenmuster des Durchbruchs von 2022“, sagte TRM. Die Plattform bemerkte, dass sie ein Szenario schuf, in dem die Wallet in der Zukunft auftritt, anstatt unmittelbar nach dem Durchbruch.

TRM Labs hebt die Nutzung der CoinJoin-Funktion von Wasabi hervor

Die Plattform erwähnte auch, dass ihre Forschung ursprünglich auf einer kleinen Anzahl von Berichten basierte, darunter mehrere Einreichungen bei Chainabuse, bei denen Benutzer den LastPass-Durchbruch als die Methode identifizierten, die die Hacker verwendeten, um ihre Wallets zu stehlen. Die Forscher erweiterten ihre Untersuchung, indem sie Kryptowährungs-Transaktionsverhalten in anderen Fällen identifizierten und es schließlich mit der Datendiebstahl-Kampagne verknüpften.

TRM fügte auch hinzu, dass es in der Lage war, Gelder zu verfolgen, selbst nachdem die Angreifer sie mit der CoinJoin-Funktion von Wasabi Wallet gemischt hatten. CoinJoin ist eine Bitcoin-Privatsphäre-Technik, die alle Transaktionen mehrerer Benutzer in eine einzelne Transaktion zusammenfasst, was es schwieriger macht, zu bestimmen, welcher Eingang welchem Ausgang entspricht. Die Funktion verschleiert Transaktionen, ohne einen traditionellen Mischdienst zu verwenden.

Nach dem Leerlaufen der Wallets konvertieren die Hacker gestohlene Vermögenswerte normalerweise in Bitcoin, leiten sie durch Wasabi Wallet und versuchen, ihre Spuren mit dieser Funktion zu verwischen. TRM erwähnte jedoch, dass es in der Lage war, das mit der CoinJoin-Funktion gesendete Bitcoin zu demixen, indem es Verhaltensmerkmale wie Transaktionsstruktur, Timing und Wallet-Konfigurationsentscheidungen analysierte. Es war auch in der Lage, Einzahlungen mit Abhebungsmustern abzugleichen, die mit dem Kryptodiebstahl übereinstimmten.