Attaques de vol de cryptomonnaies liées à la 2022brèche de LastPass
Owotunse Adebayo
3 min de lecture
- TRM Labs a relié les vols de cryptomonnaies en cours à la faille LastPass survenue en 2022.
- La plateforme a affirmé que les pirates volaient lentement dans les portefeuilles affectés au fil des ans.
- TRM Labs a indiqué que les pirates avaient utilisé la fonction CoinJoin de Wasabi pour masquer les traces des transactions.
La firme d'enquête sur la blockchain TRM Labs a lié les vols de cryptomonnaies en cours à la brèche de LastPass survenue en 2022. Selon les rapports, les attaquants ont vidé les portefeuilles des années après que des coffres-forts chiffrés aient été volés et blanchi les actifs numériques via des échanges russes.
En 2022, LastPass a confirmé que des attaquants avaient piraté ses systèmes en compromettant un environnement de développement. La plateforme a ajouté que les criminels avaient volé des parties du code source de l'entreprise et des informations techniques propriétaires. Dans un autre incident connexe, les pirates ont utilisé les identifiants volés pour pirater le service de stockage cloud GoTo, volant des sauvegardes de la base de données LastPass stockées sur la plateforme. Pour certains utilisateurs, le coffre-fort contenait à la fois des identifiants stockés et des clés privées de portefeuilles de cryptomonnaies ainsi que des phrases de récupération.
Attaques de vol de cryptomonnaies liées à la brèche de LastPass
Pendant la brèche, LastPass a affirmé que ses coffres-forts étaient chiffrés. Cependant, les utilisateurs ayant des mots de passe maîtres faibles ou réutilisés étaient vulnérables au craquage hors ligne, ce que TRM Labs estime avoir été en cours depuis la survenue de la brèche. « Selon la longueur et la complexité de votre mot de passe maître et le paramètre de nombre d'itérations, vous voudrez peut-être réinitialiser votre mot de passe maître », avertissait LastPass lors de la divulgation de la brèche.
Le lien entre les piratages de LastPass et les vols de cryptomonnaies a également été confirmé par le Secret Service des États-Unis l'année dernière après que l'agence a saisi plus de 23 millions de dollars en cryptomonnaies et a déclaré que les attaquants avaient obtenu les clés privées de leurs victimes en déchiffrant les données des coffres-forts volées lors d'un piratage de gestionnaire de mots de passe. Les dossiers judiciaires ont également mentionné qu'il n'y avait aucune preuve que les appareils des victimes avaient été compromis par des logiciels malveillants ou du hameçonnage.
Dans son rapport, TRM Labs a relié le vol de cryptomonnaies en cours à l'abus des coffres-forts LastPass chiffrés volés en 2022. Plutôt que de se précipiter pour vider entièrement les portefeuilles après la brèche, les vols ont été effectués par vagues, des mois ou des années après la survenue de l'incident. Il montre également que les attaquants ont progressivement déchiffré les coffres-forts et extrait les identifiants stockés. De plus, les portefeuilles ont été vidés en utilisant des méthodes de transaction similaires.
TRM Labs a également mentionné que la méthode utilisée lors de la brèche montrait que les pirates possédaient les clés privées avant les vols. « Le lien dans le rapport n'est pas basé sur une attribution directe aux comptes LastPass individuels, mais sur la corrélation de l'activité on-chain en aval avec le schéma d'impact connu de la brèche de 2022 », a déclaré TRM. La plateforme a noté qu'elle a créé un scénario dans lequel le portefeuille apparaît à l'avenir, plutôt qu'immédiatement après la survenue de la brèche.
TRM Labs met en évidence l'utilisation de la fonctionnalité CoinJoin de Wasabi
La plateforme a également mentionné que ses recherches étaient initialement basées sur un petit nombre de rapports, y compris plusieurs soumissions faites à Chainabuse, où les utilisateurs ont identifié la brèche de LastPass comme la méthode utilisée par les pirates pour voler leurs portefeuilles. Les chercheurs ont intensifié leur enquête, identifiant le comportement des transactions de cryptomonnaies dans d'autres affaires, finissant par le relier à la campagne de vol de données.
TRM a également ajouté qu'elle a pu tracer les fonds même après que les attaquants les ont mélangés en utilisant la fonctionnalité CoinJoin du portefeuille Wasabi. CoinJoin est une technique de confidentialité Bitcoin qui inclut toutes les transactions de plusieurs utilisateurs dans une seule transaction, rendant plus difficile la détermination de quelle entrée correspond à quelle sortie. La fonctionnalité obscurcit les transactions sans utiliser de service de mélange traditionnel.
Après avoir vidé les portefeuilles, les pirates convertissent généralement les actifs volés en Bitcoin, les acheminent via Wasabi Wallet et tentent de masquer leurs traces en utilisant la fonctionnalité. Cependant, TRM a mentionné qu'elle a pu démêler le Bitcoin envoyé en utilisant la fonctionnalité CoinJoin en analysant les caractéristiques comportementales, telles que la structure des transactions, le timing et les choix de configuration du portefeuille. Elle a également pu faire correspondre les dépôts avec des schémas de retrait correspondant au vol de cryptomonnaies.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Owotunse Adebayo
Adebayo est un rédacteur avec quatre ans d'expérience dans l'espace crypto. Il est diplômé de l'Université de Lagos où il a étudié l'urbanisme et l'aménagement du territoire. Adebayo a travaillé chez Tokenhell et CryptoTicker, écrivant sur les actualités des cryptomonnaies et de la Fintech. Il est actuellement contributeur aux actualités pour Cryptopolitan.
