2022 LastPass侵害に関連する暗号通貨窃盗攻撃

ブロックチェーン調査企業のTRM Labsは、現在進行中の暗号通貨盗難事件が2022年に発生したLastPassのデータ漏洩事件と関連していることを明らかにしました。報道によると、攻撃者は暗号化された金庫が盗まれた数年後にもウォレットから資金を引き出し、ロシアの取引所を通じてデジタル資産の洗浄を行っていました。

2022年、LastPassは攻撃者が開発者環境を侵害することでシステムに侵入したことを確認しました。プラットフォームは、犯罪者が同社のソースコードの一部および独自の技術情報を盗んだと付け加えました。関連する別の事件では、ハッカーが盗んだ認証情報を使用してGoToのクラウドストレージ企業に侵入し、プラットフォームに保存されていたLastPassデータベースのバックアップを盗みました。一部のユーザーにとって、ボールトには保存された認証情報と暗号通貨ウォレットの秘密鍵およびシードフレーズの両方が含まれていました。

LastPassのデータ漏洩事件に関連する暗号通貨盗難攻撃

データ漏洩の際、LastPassは自社の金庫が暗号化されていると主張しました。しかし、パスワードが弱かったり再利用したりしていたユーザーはオフラインでのクラッキングに脆弱であり、TRM Labsはこの攻撃が漏洩発生以来継続的に行われてきたと見ています。「マスターパスワードの長さや複雑さ、イテレーションカウントの設定によっては、マスターパスワードをリセットすることをお勧めします」と、LastPassは漏洩を公表する際に警告しました。

LastPassの侵害と暗号通貨窃盗の間の関連性は、昨年、米秘密捜査局が2,300万ドル以上の暗号通貨を押収し、攻撃者がパスワードマネージャーの侵害で盗まれたボールトデータを復号することで被害者の秘密鍵を取得したと発表した後にも確認されました。裁判所の提出書類には、被害者のデバイスがマルウェアやフィッシングを通じて侵害されたという証拠はないことも記載されていました。

TRM Labsのレポートでは、現在進行中の暗号通貨盗難が2022年に盗まれた暗号化されたLastPass金庫の悪用と関連付けられています。ハッカーは漏洩直後にウォレットから資金を素早く引き出すのではなく、事件発生から数ヶ月、あるいは数年かけて波状に盗難を行ってきました。また、攻撃者は金庫を徐々に復号化し、保存された認証情報を抽出していたことも示されています。さらに、ウォレットからの資金引き出しには類似した取引方法が使用されていました。

TRM Labsはまた、データ漏洩時に使用された手法から、ハッカーが盗難以前に秘密鍵を保有していたことが示唆されると述べました。「レポートでの関連付けは、個々のLastPassアカウントへの直接の帰属に基づくものではなく、2022年のデータ漏洩で知られている影響パターンと、その後のオンチェーン活動との相関関係に基づいています」とTRMは述べています。同プラットフォームは、ウォレットの出現がデータ漏洩直後ではなく、将来のシナリオで発生したことを指摘しました。

TRM LabsはWasabiのCoinJoin機能の使用を強調

同プラットフォームはまた、その調査は当初、Chainabuseへの提出を含む少数のレポートに基づいていたと述べました。そこでは、ユーザーがLastPassのデータ漏洩がハッカーによるウォレット盗難の手法であると特定していました。研究者たちは調査を拡大し、他のケースにおける暗号通貨取引の行動を特定し、最終的にそのデータ盗難キャンペーンと関連付けました。

TRMはまた、攻撃者がWasabiウォレットのCoinJoin機能を使用して資金を混雑させた後でも、資金を追跡できたことを付け加えました。CoinJoinは、複数のユーザーからのすべての取引を1つの取引に統合し、どの入力がどの出力に対応するかを判断しにくくするBitcoinのプライバシー技術です。この機能は、従来のミキシングサービスを使用せずに取引を不明確にします。

ウォレットから資金を抜き取った後、ハッカーは通常、盗んだ資産をビットコインに変換し、Wasabi Walletを介してルーティングし、その機能を使用して足跡を隠そうとします。しかし、TRMは、取引構造、タイミング、ウォレット設定の選択などの行動的特性を分析することで、CoinJoin機能を使用して送信されたビットコインの混合を解除することに成功したと述べました。また、暗号通貨窃盗と一致する入出金パターンと預金を一致させることもできました。