Пробивот на LastPass во 2022 година довел до повеќегодишни кражби на криптовалути, открива TRM Labs

Шифрираните резервни копии на „vault“-ови украдени при пробивот на LastPass во 2022 година им овозможиле на злонамерни актери да ги искористат слабите мастер-лозинки за да ги пробијат и да испразнат криптовалутни средства сè до крајот на 2025 година, според новите наоди на TRM Labs.

Фирмата за блокчејн-разузнавање соопшти дека доказите укажуваат на вмешаност на руски сајберкриминални актери, при што една од руските берзи примила средства поврзани со LastPass дури и во октомври.

Оваа проценка е „заснована на целокупноста на он-чејн доказите – вклучувајќи повторени интеракции со инфраструктура поврзана со Русија, континуитет на контрола пред и по мешањето (mix), како и конзистентна употреба на високоризични руски берзи како излезни точки (off-ramps),“ додаде компанијата.

LastPass претрпе голем хакерски напад во 2022 година, кој им овозможи на напаѓачите пристап до лични податоци на корисниците, вклучувајќи ги и нивните шифрирани „vault“-ови со лозинки што содржеле акредитиви, како приватни клучеви и seed фрази за криптовалути. Претходно овој месец, услугата за управување со лозинки беше казнета со 1,6 милиони долари од Канцеларијата на Комесарот за информации на Обединетото Кралство (ICO) поради недоволно цврсти технички и безбедносни мерки за спречување на инцидентот.

Пробивот тогаш ја натера компанијата да издаде предупредување дека злонамерни актери може да користат brute-force техники за да ги погодат мастер-лозинките и да ги дешифрираат украдените податоци од „vault“-овите. Најновите наоди на TRM Labs покажуваат дека сајберкриминалците токму тоа и го направиле.

„Секој ‘vault’ заштитен со слаба мастер-лозинка на крај може да биде дешифриран офлајн, претворајќи еден пробив од 2022 година во повеќегодишен прозорец за напаѓачите тивко да пробиваат лозинки и со текот на времето да празнат средства,“ соопшти компанијата.

„Како што корисниците не ги ротирале лозинките или не ја подобрувале безбедноста на ‘vault’-овите, напаѓачите продолжиле да ги пробиваат слабите мастер-лозинки и години подоцна – што довело до празнење на паричници дури и кон крајот на 2025 година.“

Руските врски со украдената криптовалута од пробивот на LastPass во 2022 година произлегуваат од два главни фактори: употребата на берзи кои вообичаено се поврзуваат со рускиот сајберкриминален екосистем во процесот на перење пари и оперативни врски утврдени од паричници кои интерагирале со миксери и пред и по процесот на мешање и перење.

Трасирани се повеќе од 35 милиони долари украдени дигитални средства, од кои 28 милиони долари биле конвертирани во Bitcoin и испрани преку Wasabi Wallet меѓу крајот на 2024 и почетокот на 2025 година. Дополнителни 7 милиони долари се поврзани со нареден бран откриен во септември 2025 година.

Утврдено е дека украдените средства биле пренасочувани преку Cryptomixer.io и извлечени преку Cryptex и Audia6, две руски берзи поврзани со нелегални активности. Вреди да се напомене дека Cryptex беше санкционирана од Министерството за финансии на САД во септември 2024 година за примање над 51,2 милиони долари нелегални средства потекнати од ransomware напади.

TRM Labs соопшти дека успеала да ја „демиксира“ активноста и покрај употребата на CoinJoin техники, кои ја отежнуваат трасирањето на текот на средствата за надворешни набљудувачи, откривајќи групирани повлекувања и „peeling chains“ кои го насочиле измешаниот Bitcoin кон двете берзи.

„Ова е јасен пример како еден единствен пробив може да еволуира во повеќегодишна кампања за кражба,“ изјави Ари Редборд, глобален раководител за политика во TRM Labs. „Дури и кога се користат миксери, оперативните обрасци, повторната употреба на инфраструктура и однесувањето при излезните точки сè уште можат да откријат кој навистина стои зад активноста.“

„Руските високоризични берзи продолжуваат да служат како клучни излезни точки за глобалниот сајберкриминал. Овој случај покажува зошто демиксирањето и анализата на ниво на екосистем се веќе суштински алатки за атрибуција и спроведување на законот.“

Извори:

• The Hacker News – LastPass 2022 Breach Led to Years-Long Cryptocurrency Thefts, TRM Labs Finds The Hacker News