Hackeri kradli milióny dolárov v kryptomene, zdanlivo po prelomení LastPass. Tu je to, čo potrebujete vedieť.
Sotva uplynie týždeň, aby sa na titulky nedostali správy o porušení údajov. Skutočné následky sú zdanlivo zriedkavé a úspešné útoky sú také bežné, že je takmer lákavé ich ignorovať a pokračovať ako normálne. Ale porušenie údajov LastPass v roku 2022 spôsobilo, že zločinci mali prístup k celým trezorom hesiel, čo viedlo k sérii čoraz nepravdepodobnejších odmietnutí zo strany spoločnosti.
Teraz sa zdá, že hack LastPass priviedol kyberzločincov k tomu, že ukradli viac ako 35 miliónov dolárov v kryptomenách.
Čo sa stalo pri porušení údajov LastPass v roku 2022?
Ak si uvedomujete potrebu udržiavať svoje online účty v bezpečí, potrebujete správcu hesiel. Namiesto toho, aby ste si sami zapamätali silné heslá alebo používali rovnaké heslo na všetko (čo odporúčame proti), správca hesiel pre vás vygeneruje prihlasovacie údaje a uloží ich v zašifrovanej sieti online trezor.
S dobrým správcom hesiel môžete odomknúť svoj trezor pomocou hlavného hesla, čo správcovi hesiel umožní použiť na prihlásenie špecifickú sadu poverení pre danú lokalitu.
Keď sa spoľahnete na správcu hesiel, zveríte mu svoj e-mail, online bankovníctvo, systém odmien v obchode a áno, aj svoju krypto peňaženku.
Hackeri porušili LastPass v auguste 2022 a napriek opakovaným ubezpečeniam spoločnosti počas niekoľkých mesiacov, LastPass v decembri 2022 priznal, že osobné údaje používateľa spolu so šifrovanými trezormi hesiel boli ukradnutý. Približne v tom čase začalo MUO dostávať e-maily od zákazníkov LastPass s nárokmi zločinci aktívne používali svoje poverenia.
Napriek online špekuláciám a nepodloženým správam o tom, že zločincom sa podarilo preniknúť do stiahnutých trezorov hesiel, LastPass naďalej uspokojoval zákazníkov s vyhláseniami, že prelomenie hlavného hesla by trvalo milióny rokov.
Podobne ako predchádzajúce vyhlásenia z LastPass, teraz sa ukazuje, že to nemusí byť úplne pravda a je to stopa Podozrivé transakcie poukazujú na dôkazy, že údaje získané z trezorov LastPass sa používajú na odcudzenie digitálneho obsahu aktíva.
Ako zločinci používajú ukradnuté prihlasovacie údaje LastPass
Ak sa chcete prihlásiť do svojho bankového účtu, zvyčajne potrebujete viac autentifikácie ako jednoduché heslo. Vaša banka by zvyčajne vyžadovala použitie špeciálnej aplikácie, overenia SMS alebo iného spôsobu viacfaktorová autentifikácia.
Toto nie je pravda kryptopeňaženky, zvyčajne zabezpečené pomocou počiatočnej frázy 12 alebo viac slov, ktoré vám poskytujú úplný a neobmedzený prístup ku kryptofondom, súkromným kľúčom a transakciám. Útočník, vyzbrojený len touto sériou slov, môže rýchlo a jednoducho vysať vaše prostriedky do éteru.
Dlhá séria náhodných slov však môže byť rovnako ťažko zapamätateľná ako obzvlášť zložité heslo a veľa ľudí ich ukladá do trezorov správcu hesiel. A ako The Verge správy, to je skvelá správa pre hackerov, ktorí zrejme ukradli milióny dolárov v kryptomenách.
Nick Bax, riaditeľ analytiky v Unciphered, skúmal obrovské množstvo údajov o krádežiach kryptomien, ktoré odhalil Taylor Monahan z Metamask a ďalší výskumníci. V septembri 2023 povedal Krebson Security že zločinci presunuli krypto „z viacerých obetí na rovnaké blockchainové adresy, čo umožnilo tieto obete silne prepojiť“.
Po identifikácii a rozhovore s obeťami dospel k záveru, že jediným spoločným faktorom bolo to, že používali LastPass na ukladanie svojich kryptografických fráz.
Bax teraz vyzýva všetkých priateľov a rodinu, ktorí používajú LastPass, aby zmenili všetky svoje heslá a migrovali všetky kryptomeny, ktoré mohli byť odhalené.
Zločinci mali dostatok času použiť ukradnuté šifrovacie kľúče na otvorenie ukradnutých trezorov na heslá.
Aj keď dáva zmysel, že zlodeji sa najskôr zamerajú na ľahko prenosné krypto aktíva, je tiež pravdepodobné, že už odhalili všetky vaše uložené heslá LastPass. Nie sú nijako časovo obmedzené a nakoniec sa dostanú k menej hodnotným zdrojom.
Aj keď sa nemusia priamo zameriavať na e-mailové účty, peňaženky PayPal alebo banky, tieto aktíva možno zabaliť a predať iným kriminálnym tretím stranám.
Ak sa niektoré z hesiel uložených v trezore LastPass pred rokom 2022 stále používajú, mali by ste ich okamžite zmeniť.