Attacchi di furto di criptovalute collegati alla 2022 violazione di LastPass

L'azienda di indagini blockchain TRM Labs ha collegato i continui furti di criptovalute alla violazione di LastPass verificatasi nel 2022. Secondo i rapporti, gli aggressori hanno svuotato i wallet anni dopo che i vault crittografati erano stati rubati e hanno riciclato le attività digitali attraverso exchange russi.

Nel 2022, LastPass ha confermato che gli attaccanti avevano violato i suoi sistemi compromettendo un ambiente di sviluppo. La piattaforma ha aggiunto che i criminali hanno rubato porzioni del codice sorgente dell'azienda e informazioni tecniche proprietarie. In un altro incidente correlato, gli hacker hanno utilizzato le credenziali rubate per violare la società di cloud storage GoTo, rubando i backup del database LastPass memorizzati sulla piattaforma. Per alcuni utenti, la cassaforte conteneva sia le credenziali memorizzate che le chiavi private dei wallet di criptovaluta e le seed phrase.

Attacchi di furto di criptovalute collegati alla violazione di LastPass

Durante la violazione, LastPass ha affermato che i suoi vault erano crittografati. Tuttavia, gli utenti con password master deboli o riutilizzate erano vulnerabili al cracking offline, che TRM Labs ritiene sia in corso da quando si è verificata la violazione. "A seconda della lunghezza e della complessità della tua password master e dell'impostazione del conteggio delle iterazioni, potresti voler reimpostare la tua password master", ha avvertito LastPass quando ha divulgato la violazione.

Il link tra le violazioni di LastPass e i furti di criptovalute è stato confermato anche dal Servizio Segreto degli Stati Uniti lo scorso anno, dopo che l'agenzia ha sequestrato oltre 23 milioni di dollari in criptovalute e ha dichiarato che gli aggressori avevano ottenuto le chiavi private delle loro vittime decrittando i dati dei vault rubati in una violazione di un gestore di password. I documenti giudiziari hanno anche menzionato che non vi erano prove che i dispositivi delle vittime fossero stati compromessi tramite malware o phishing.

Nel suo rapporto, TRM Labs ha collegato il continuo furto di criptovalute all'abuso dei vault crittografati di LastPass rubati nel 2022. Invece di muoversi rapidamente per svuotare l'intero wallet dopo la violazione, i furti sono stati eseguiti a ondate, mesi o anni dopo l'incidente. Mostra anche che gli aggressori hanno decrittato gradualmente i vault ed estratto le credenziali memorizzate. Inoltre, i wallet sono stati svuotati utilizzando metodi di transazione simili.

TRM Labs ha anche menzionato che il metodo utilizzato durante la violazione ha dimostrato che gli aggressori possedevano le chiavi private prima dei furti. "Il collegamento nel rapporto non si basa sull'attribuzione diretta ai singoli account LastPass, ma sulla correlazione dell'attività on-chain a valle con il noto modello di impatto della violazione del 2022", ha affermato TRM. La piattaforma ha notato di aver creato uno scenario in cui il wallet appare in futuro, piuttosto che immediatamente dopo la violazione.

TRM Labs evidenzia l'uso della funzione CoinJoin di Wasabi

La piattaforma ha anche menzionato che la sua ricerca si basava inizialmente su un piccolo numero di rapporti, tra cui diverse segnalazioni fatte a Chainabuse, dove gli utenti hanno identificato la violazione di LastPass come il metodo utilizzato dagli hacker per rubare i loro wallet. I ricercatori hanno ampliato le loro indagini, identificando il comportamento delle transazioni di criptovalute in altri casi, collegandolo infine alla campagna di furto di dati.

TRM ha anche aggiunto di essere stata in grado di tracciare i fondi anche dopo che gli aggressori li avevano mescolati utilizzando la funzione CoinJoin del wallet Wasabi. CoinJoin è una tecnica di privacy di Bitcoin che include tutte le transazioni di più utenti in una singola transazione, rendendo più difficile determinare quale input corrisponda a quale output. La funzione offusca le transazioni senza utilizzare un servizio di mixing tradizionale.

Dopo aver svuotato wallet, gli hacker convertono solitamente le attività rubate in Bitcoin, le instradano attraverso Wasabi Wallet e tentano di nascondere le loro tracce utilizzando la funzione. Tuttavia, TRM ha menzionato di essere stata in grado di demiscelare i Bitcoin inviati utilizzando la funzione CoinJoin analizzando le caratteristiche comportamentali, come la struttura della transazione, i tempi e le scelte di configurazione del wallet. È stata anche in grado di abbinare i depositi ai modelli di prelievo che corrispondevano al furto di criptovalute.