与2022 LastPass入侵相关的加密货币盗窃攻击

区块链调查公司TRM Labs已将持续的加密货币盗窃与2022年发生的LastPass入侵联系起来。据报道，攻击者在加密金库被盗数年后一直在清空钱包，并通过俄罗斯交易所洗钱数字资产。

2022年，LastPass确认攻击者通过破坏开发人员环境入侵了其系统。该平台补充说，犯罪分子窃取了该公司源代码和专有技术信息的一部分。在另一起相关事件中，黑客利用窃取的凭证入侵了GoTo云存储公司，窃取了存储在该平台上的LastPass数据库备份。对于某些用户来说，金库中既包含存储的凭证，也包含加密货币钱包的私钥和助记词。

与LastPass入侵相关的加密货币盗窃攻击

在入侵期间，LastPass声称其金库已加密。然而，使用弱或重用主密码的用户容易受到离线破解，TRM Labs认为这自入侵发生以来一直在进行。“根据您的主密码长度和复杂性以及迭代计数设置，您可能需要重置主密码，”LastPass在披露入侵时警告道。

美国特勤局去年在查获超过2300万美元加密货币后也确认了LastPass数据泄露与加密货币盗窃之间的联系，并表示攻击者通过解密从密码管理器泄露中窃取的金库数据，获取了受害者的私钥。法院文件还提到，没有证据表明受害者的设备通过恶意软件或网络钓鱼手段遭到入侵。

在其报告中，TRM Labs将持续的加密货币盗窃与2022年窃取的加密LastPass金库的滥用联系起来。黑客并没有在入侵后迅速清空整个钱包，而是分几波进行盗窃，在事件发生数月或数年后。它还显示攻击者一直在逐步解密金库并提取存储的凭证。此外，钱包使用类似的交易方法被清空。

TRM Labs还提到，入侵期间使用的方法表明黑客在盗窃之前拥有私钥。“报告中的联系并非基于对个别LastPass账户的直接归因，而是基于将下游链上活动与2022年入侵的已知影响模式相关联，”TRM表示。该平台指出，它创建了一个钱包在未来出现的情景，而不是在入侵发生后立即出现。

TRM Labs 强调 Wasabi 的 CoinJoin 功能的使用

该平台还提到，其研究最初基于少量报告，包括提交给 Chainabuse 的几份报告，其中用户指出 LastPass 数据泄露是黑客用来窃取其钱包的方法。研究人员扩大了调查范围，识别出其他案件中加密货币交易行为，最终将其与数据盗窃活动联系起来。

TRM 还补充说，即使攻击者使用 Wasabi 钱包的 CoinJoin 功能混合资金，他们仍能追踪资金流向。CoinJoin 是一种比特币隐私技术，它将多个用户的交易合并到一笔交易中，使得确定哪个输入对应哪个输出变得更加困难。该功能在不使用传统混币服务的情况下混淆交易。

在清空钱包后，黑客通常将被盗资产转换为比特币，通过Wasabi钱包路由它们，并试图使用该功能隐藏其踪迹。然而，TRM提到，它能够通过分析行为特征（如交易结构、时间和钱包配置选择）来解混使用CoinJoin功能发送的比特币。它还能够将存款与匹配加密货币盗窃的取款模式相匹配。