Хакери продължават да източват криптопортфейли, благодарение на атаката над LastPass

Почти четири години след кражбата на трезори с пароли на потребителите на LastPass, атаките към криптопортфейли продължават. Това се посочва в нов доклад на TRM Labs.

Вероятно си спомняте серията от атаки от 2022 към LastPass, компанията зад популярния мениджър за пароли. Всичко започва с хакването на лаптопа на служител на компанията, което позволява достъпа до вътрешните системи на компанията. Последвала атака позволява кражбата на изходния код на мениджъра и документация. Пробив в мрежата на партньор на компанията води пък до свалянето на база данни и кражбата на въпросните трезори. В хода на всички тези инциденти LastPass нееднократно омаловажаваше случилото се. Отделно от това, те прехвърлиха част от вината на самите потребители. Това им навлече критиката на специалисти по сигурността. А в края на миналата година и сериозна глоба от страна на Великобритания. През цялото това време, хакери източват милиони от криптопортфейли. В началото на 2025, американските служби за сигурност успяха да възстановят откраднатото от един такъв портфейл.

TRM отбелязват, че портфейлите са източвани на вълни месеци или години след атаката към LastPass. Което е знак, че декриптирането е постепенно. Самото източване е осъществявано чрез сходни транзакционни методи. В разговор с BleepingComputer, TRM Labs обясняват, че връзката с пробива се базира на свързване на регистрирана последваща активност и вече известни и повтарящи се модели, свързващи се с пробива от 2022. „Това създава сценарий, при който източването се случва след значително време от пробива, а не веднага. И то на отдалечени една от други вълни“, коментират TRM.

Откритията в разследването се базират също и на доклади от хора към Chainabuse, които свързват кражбата на активи от портфейлите им с атаката към LastPass. Специалистите успяват също така да проследят движението на откраднатото, дори след миксирането на активи с CoinJoin на Wasabi Wallet.

CoinJoin се явява техника, която комбинира транзакции с биткойн на множество потребители в единична транзакция. Това прави трудно проследяването на свързването източниците на входните и изходните транзакции.

Съобщава се, че след източване на портфейлите, хакерите обръщат откраднатото в биткойни и ги изпращат към Wasabi Wallet. А след това използват въпросната характеристика, за да прикрият следите си. TRM успяват да „демиксират“ откраднатото чрез поведенчески анализ на различни характеристики. Това включва структура на транзакциите, избор за конфигурацията на портфейлите, време на транзакциите и др. TRM Labs установяват, че хакерите успяват да източат и „преперат“ чрез Wasabi Wallet повече отт $28 милиона. Това се случва в края на 2024 и началото на 2025. Допълнително се свързват и атаки от есента на 2025, при които са източени и препрани още $7 милиона. Те проследяват също и изтеглянето на средства към две конкретни услуги – Cryptex и Audi6. Което потвърждава наблюдението им, че зад кражбите стоят едни и същи хора.