Ataques de roubo de criptomoedas ligados à invasão de 2022 LastPass
Owotunse Adebayo
3 min de leitura
- A TRM Labs vinculou os roubos de criptomoedas em andamento à violação do LastPass ocorrida em 2022.
- A plataforma afirmou que os hackers têm roubado lentamente das carteiras afetadas ao longo dos anos.
- A TRM Labs mencionou que os hackers usaram a funcionalidade CoinJoin da Wasabi para ocultar o rastro das transações.
A empresa de investigação blockchain TRM Labs vinculou os roubos contínuos de criptomoedas à invasão da LastPass que ocorreu em 2022. De acordo com relatórios, os atacantes têm drenado carteiras anos depois que cofres criptografados foram roubados e estão lavando os ativos digitais através de exchanges russas.
Em 2022, a LastPass confirmou que atacantes haviam invadido seus sistemas comprometendo um ambiente de desenvolvedor. A plataforma acrescentou que os criminosos roubaram partes do código-fonte da empresa e informações técnicas proprietárias. Em outro incidente relacionado, os hackers usaram as credenciais roubadas para invadir a empresa de armazenamento em nuvem GoTo, roubando backups do banco de dados da LastPass armazenados na plataforma. Para alguns usuários, o cofre continha tanto credenciais armazenadas quanto chaves privadas de carteiras de criptomoedas e frases semente.
Ataques de roubo de criptomoedas ligados à invasão da LastPass
Durante a invasão, a LastPass afirmou que seus cofres estavam criptografados. No entanto, usuários com senhas mestras fracas ou reutilizadas eram vulneráveis a cracking offline, o que a TRM Labs acredita ter ocorrido continuamente desde que a invasão aconteceu. "Dependendo do comprimento e complexidade da sua senha mestra e da configuração de contagem de iterações, você pode querer redefinir sua senha mestra", alertou a LastPass quando divulgou a invasão.
A ligação entre as invasões da LastPass e os roubos de criptomoedas também foi confirmada pelo Serviço Secreto dos Estados Unidos no ano passado, após a agência apreender mais de 23 milhões de dólares em criptomoedas e dizer que os atacantes haviam obtido as chaves privadas de suas vítimas ao descriptografar dados do cofre roubados em uma invasão ao gerenciador de senhas. Documentos judiciais também mencionaram que não havia evidências de que os dispositivos das vítimas haviam sido comprometidos por malware ou phishing.
Em seu relatório, a TRM Labs conectou o roubo contínuo de criptomoedas ao abuso dos cofres criptografados da LastPass roubados em 2022. Em vez dos hackers se moverem rapidamente para drenar todas as carteiras após a invasão, os roubos foram realizados em ondas, meses ou anos após o incidente ocorrer. Isso também mostra que os atacantes têm descriptografado gradualmente os cofres e extraído credenciais armazenadas. Além disso, as carteiras foram drenadas usando métodos de transação semelhantes.
A TRM Labs também mencionou que o método usado durante a invasão mostrou que os hackers possuíam as chaves privadas antes dos roubos. "A ligação no relatório não se baseia em atribuição direta a contas individuais da LastPass, mas na correlação da atividade on-chain subsequente com o padrão de impacto conhecido da invasão de 2022", disse a TRM. A plataforma observou que criou um cenário em que a carteira ocorre no futuro, em vez de imediatamente após a invasão acontecer.
TRM Labs destaca o uso do recurso CoinJoin da Wasabi
A plataforma também mencionou que sua pesquisa foi inicialmente baseada em um pequeno número de relatórios, incluindo várias submissões feitas ao Chainabuse, onde os usuários identificaram a invasão da LastPass como o método que os hackers usaram para roubar suas carteiras. Os pesquisadores aumentaram sua investigação, identificando comportamento de transação de criptomoedas em outros casos, eventualmente vinculando-o à campanha de roubo de dados.
A TRM também acrescentou que conseguiu rastrear os fundos mesmo após os atacantes os terem misturado usando o recurso CoinJoin da carteira Wasabi. CoinJoin é uma técnica de privacidade do Bitcoin que inclui todas as transações de vários usuários em uma única transação, tornando mais difícil determinar qual entrada corresponde a qual saída. O recurso ofusca transações sem usar um serviço de mistura tradicional.
Após drenar carteiras, os hackers geralmente convertem os ativos roubados para Bitcoin, roteiam-nos através da Wasabi Wallet e tentam esconder seus rastros usando o recurso. No entanto, a TRM mencionou que conseguiu desmixar o Bitcoin enviado usando o recurso CoinJoin analisando características comportamentais, como estrutura de transação, timing e escolhas de configuração de carteira. Ela também conseguiu corresponder depósitos com padrões de retirada que coincidiram com o roubo de criptomoedas.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Owotunse Adebayo
Adebayo é um escritor com quatro anos de experiência no espaço cripto. Formou-se pela Universidade de Lagos, onde estudou Planejamento Urbano e Regional. Adebayo trabalhou na Tokenhell e na CryptoTicker, escrevendo notícias sobre criptomoedas e Fintech. Atualmente, é colaborador de notícias da Cryptopolitan.
