- Компания TRM Labs связала продолжающиеся кражи криптовалюты с утечкой данных LastPass, произошедшей в 2022 году.
- Платформа утверждает, что хакеры постепенно похищали средства с затронутых кошельков на протяжении нескольких лет.
- TRM Labs отметила, что хакеры использовали функцию CoinJoin от Wasabi для сокрытия следов транзакций.
Блокчейн-исследовательская компания TRM Labs связала продолжающиеся кражи криптовалюты с утечкой данных LastPass, произошедшей в 2022 году. По сообщениям, злоумышленники опустошали кошельки спустя годы после кражи зашифрованных хранилищ и отмывали цифровые активы через российские биржи.
В 2022 году LastPass подтвердил, что злоумышленники взломали свои системы, скомпрометировав среду разработчика. Платформа добавила, что преступники украли части исходного кода компании и проприетарную техническую информацию. В другом связанном инциденте хакеры использовали украденные учетные данные для взлома облачного хранилища GoTo, украв резервные копии базы данных LastPass, хранящиеся на платформе. Для некоторых пользователей хранилище содержало как сохраненные учетные данные, так и закрытые ключи и сид-фразы кошельков криптовалют.
Атаки на кражу криптовалюты связаны с утечкой LastPass
Во время утечки LastPass заявлял, что его хранилища были зашифрованы. Однако пользователи со слабыми или повторно используемыми мастер-паролями были уязвимы для офлайн-взлома, что, по мнению TRM Labs, происходило непрерывно с момента инцидента. «В зависимости от длины и сложности вашего мастер-пароля и настройки количества итераций, вам может потребоваться сбросить мастер-пароль», — предупреждал LastPass при раскрытии информации об утечке.
Связь между взломами LastPass и кражами криптовалюты также была подтверждена Секретной службой США в прошлом году, когда агентство конфисковало более 23 млн долларов в криптовалюте и заявило, что злоумышленники получили закрытые ключи своих жертв, расшифровав данные хранилища, украденные во время взлома менеджера паролей. Судебные документы также упоминали, что не было доказательств того, что устройства жертв были скомпрометированы через вредоносное ПО или фишинг.
В своем отчете TRM Labs связала продолжающиеся кражи криптовалюты с злоупотреблением зашифрованными хранилищами LastPass, украденными в 2022 году. Вместо того чтобы хакеры стремительно опустошали все кошельки сразу после взлома, кражи осуществлялись волнами, спустя месяцы или годы после инцидента. Также показано, что злоумышленники постепенно расшифровывали хранилища и извлекали сохраненные учетные данные. Кроме того, кошельки опустошались с использованием схожих методов транзакций.
TRM Labs также отметила, что метод, использованный во время взлома, свидетельствует о том, что у хакеров были приватные ключи до начала краж. «Связь в отчете основана не на прямой атрибуции к отдельным аккаунтам LastPass, а на корреляции последующей активности в блокчейне с известным паттерном воздействия утечки 2022 года», — заявила TRM. Платформа отметила, что создала сценарий, при котором кошелек появляется в будущем, а не сразу после взлома.
TRM Labs выделяет использование функции CoinJoin от Wasabi
Платформа также упомянула, что ее исследование изначально базировалось на небольшом количестве отчетов, включая несколько заявок, поданных в Chainabuse, где пользователи указали на утечку LastPass как на метод, использованный хакерами для кражи их кошельков. Исследователи расширили свое расследование, выявив поведение криптовалютных транзакций в других случаях, в конечном итоге связав его с кампанией по краже данных.
TRM также добавила, что смогла отследить средства даже после того, как злоумышленники смешали их с помощью функции CoinJoin кошелька Wasabi. CoinJoin — это технология конфиденциальности Bitcoin, которая объединяет все транзакции от нескольких пользователей в одну, затрудняя определение того, какой вход соответствует какому выходу. Эта функция маскирует транзакции без использования традиционных миксеров.
После опустошения кошельков хакеры обычно конвертируют украденные активы в Bitcoin, маршрутизируют их через Wasabi Wallet и пытаются скрыть свои следы, используя эту функцию. Однако TRM упомянула, что ей удалось демикшировать Bitcoin, отправленный с использованием функции CoinJoin, проанализировав поведенческие характеристики, такие как структура транзакций, время и выбор конфигурации кошелька. Ей также удалось сопоставить депозиты с моделями вывода, которые совпадали с кражами криптовалюты.
Самые умные крипто-энтузиасты уже читают нашу рассылку. Хотите присоединиться? Присоединяйтесь.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Овотунсе Адебайо
Адебайо — писатель с четырёхлетним опытом работы в сфере криптовалют. Он окончил Университет Лагоса, где изучал городское и региональное планирование. Адебайо работал в Tokenhell и CryptoTicker, освещая новости криптовалют и финтеха. В настоящее время он является новостным автором в Cryptopolitan.
