Ataques de roubo de criptomoedas ligados à violação de segurança da LastPass em 2022

A empresa de investigação de blockchain TRM Labs ligou os roubos de criptomoedas em curso à violação de segurança da LastPass ocorrida em 2022. De acordo com relatos, os atacantes têm esvaziado carteiras anos após o roubo de cofres criptografados e lavado os ativos digitais por meio de corretoras russas.

Em 2022, a LastPass confirmou que invasores haviam comprometido seus sistemas ao invadir um ambiente de desenvolvimento. A plataforma acrescentou que os criminosos roubaram partes do código-fonte da empresa e informações técnicas proprietárias. Em outro incidente relacionadodentos hackers usaram asdentpara invadir a empresa de armazenamento em nuvem GoTo, roubando backups do banco de dados da LastPass armazenados na plataforma. Para alguns usuários, o cofre continha tanto as credenciais armazenadasdentas chaves privadas e frases-semente de carteiras de criptomoedas.

Ataques de roubo de criptomoedas ligados à violação de segurança do LastPass

Durante a violação de segurança, a LastPass alegou que seus cofres estavam criptografados. No entanto, usuários com senhas mestras fracas ou reutilizadas estavam vulneráveis ​​a ataques offline, que a TRM Labs acredita estarem ocorrendo desde a violação. "Dependendo do comprimento e da complexidade da sua senha mestra e da configuração de número de iterações, talvez seja necessário redefini-la", alertou a LastPass ao divulgar a violação.

A ligação entre as violações de segurança do LastPass e os roubos de criptomoedas também foi confirmada pelo Serviço Secreto dos Estados Unidos no ano passado, após a agência apreender mais de US$ 23 milhões em criptomoedas e afirmar que os atacantes obtiveram as chaves privadas de suas vítimas descriptografando dados de cofres roubados em uma violação de um gerenciador de senhas. Documentos judiciais também mencionaram que não havia evidências de que os dispositivos das vítimas tivessem sido comprometidos por malware ou phishing.

Em seu relatório, a TRM Labs relacionou o roubo contínuo de criptomoedas ao abuso dos cofres criptografados do LastPass, roubados em 2022. Em vez de os hackers agirem rapidamente para esvaziar todas as carteiras após a violação, os roubos foram realizados em ondas, meses ou anos após odent . O relatório também mostra que os invasores foram descriptografando gradualmente os cofres etracasdentarmazenadas. Além disso, as carteiras foram esvaziadas usando métodos de transação semelhantes.

A TRM Labs também mencionou que o método usado durante a violação mostrou que os hackers possuíam as chaves privadas antes dos roubos. "A ligação no relatório não se baseia na atribuição direta a contas individuais do LastPass, mas na correlação da atividade subsequente na blockchain com o padrão de impacto conhecido da violação de 2022", afirmou a TRM. A plataforma observou que criou um cenário em que a carteira é roubada no futuro, em vez de imediatamente após a violação.

A TRM Labs destaca o uso do recurso CoinJoin do Wasabi

A plataforma também mencionou que sua pesquisa foi inicialmente baseada em um pequeno número de relatos, incluindo várias denúncias feitas à Chainabuse, onde os usuáriosdenta violação do LastPass como o método usado pelos hackers para roubar suas carteiras. Os pesquisadores ampliaram a investigação,dento comportamento de transações com criptomoedas em outros casos, até finalmente vinculá-lo à campanha de roubo de dados.

A TRM também acrescentou que conseguiu tracos fundos mesmo depois que os atacantes os misturaram usando o recurso CoinJoin da carteira Wasabi. O CoinJoin é uma técnica de privacidade Bitcoin que inclui todas as transações de vários usuários em uma única transação, dificultando a determinação de qual entrada corresponde a qual saída. O recurso ofusca as transações sem usar um serviço de mistura tradicional.

Após esvaziar as carteiras, os hackers geralmente convertem os ativos roubados em Bitcoin, encaminham-nos através da Wasabi Wallet e tentam ocultar seus tracutilizando esse recurso. No entanto, a TRM mencionou que conseguiu desvincular o Bitcoin enviado usando o recurso CoinJoin, analisando características comportamentais, como estrutura da transação, horário e configurações da carteira. Também foi possível identificar padrões de depósitos e saques que correspondiam ao roubo de criptomoedas.