Пробивът в сигурността на LastPass е довел до кражбата на милиони в крипто

Вероятно много от вас са чували нееднократно напомнянията на специалисти по сигурност да използвате сложни и уникални пароли, за да защитите достъпа си до сайтовете. Заедно с 2FA защитата, вашата регистрация изглежда непробиваема, нали? Няма неразрушима защита обаче и никога не е имало, има само чувство за такава. Когато генерирате тези дълги и сложни 12-,14- или колкото и да е там символни пароли, вашият мозък няма как да ги запомни. За тази цел на помощ идват мениджърите на пароли. Някои използват за тази цел офлайн такива, други предпочитат удобството на онлайн организаторите на пароли, като водещ сред тези програми години наред вече си остава LastPass. Когато обаче преди осем години те бяха придобити от LogMeIn, мнозина изразиха страховете си, че това е началото на края за любимата им платформа. LogMeIn не е компания с уважавана история по отношение на сигурността. И може би са били прави.

Атаките към LastPass в последните години бяха не една и две, но впечатление правят четири конкретни от последните две години. Първо, в края на 2021 потребителите на LastPass започнаха да получават масово съобщения за опити за опити за нерегламентиран вход в регистрациите им. От LastPass в типичния си стил предпочетоха да неглежират ситуацията, но препоръчаха да се сменят главните пароли (Защо, ако няма нужда от притеснение?) През лятото на 2022 неизвестна страна успя да достигне до изходния код на програмата и други важни чувствителни данни. Впоследствие беше хакнато облачното хранилище на партньор на LastPass, като не стана известно какъв точно е мащаба на атаката. Последва и новината за четвърти инцидент, свързан с LastPass от края на миналата година. Този път обаче хакерите се разбра, че са откраднали и трезори на потребителите. „Трезор“ е криптираният файл, свързан с всеки потребител и пазещ всичките му тайни. Впоследствие се оказа, че LastPass са допуснали някои пропуски в обезпечаването на сигурността на трезорите, така че даже и с достъп до такъв, някой хакер да не може да го отключи. Това доведе до отправянето на сериозна критика от специалисти по сигурност, като сега се оказва, че тази критика не е била без основание.

Споменавайки в началото на този текст съветите на специалисти и използването на мениджърите на пароли, то такива, вероятно знаете (помислете колко от приятелите ви ползват), използват обикновено технически грамотни потребители, които често трябва да защитят нещо ценно. Нека да е вход за криптопортфейли. Защото именно това се е случило. И става дума за милиони долари в крипто. Друг въпрос тук би бил колко технически грамотни са тези жертви да използват онлайн мениджър, а не офлайн, но това е друг въпрос.

Decrypt.co привежда в материал от днес, че през последните месеци над 100 привидно добре защитени крипопортфейли са били източени от милиони долари и никой не знае причината за това. Месеци наред специалисти по сигурността се опитвали да разгадаят мистерията понеже не става въпрос за организирани мошенически кампании към засегнатите или някакви рискови действия от тях онлайн. След всички възможности, експертите се обединяват, че именно атаката от декември миналата година, при която бяха откраднати трезори на LastPass е причината за източването на тези портфейли. Изданието съобщава, че тези атаки са виновни за кражбата на поне $39 000 000 в крипто, като само през миналата седмица в кражба от над 25 крипопортфейла са задигнати $4.4 милиона.

Вълната от атаки провокира Тейлър Монахан от MetaMask и други специалисти веднага да преместят криптоактивите си другаде, ако са използвали LastPass за съхранение на ключове или „сийд“ фразата си. Изданието припомня и начина, по който LastPass се отнесоха към ситуацията и обратната връзка, която подадоха към своите потребители.

„LastPass все още не са споделили някои критично важни подробности относно положението със сигурността на системите им и нещата, които са били компрометирани от хакерите. Искам дебело да подчертая, че LastPass могат и трябва да свършат повече тук. Те са една отвратително провалила се компания“, пише Монахън.