Firma TRM Labs, zajmująca się śledztwami w obszarze blockchaina, powiązała trwające kradzieże kryptowalut z włamaniami do LastPass ujawnionymi w 2022 roku, pokazując, jak atakujący nadal wykorzystują wykradzione zaszyfrowane sejfy haseł po latach.
Co się wydarzyło
W 2022 roku atakujący:
- Przejęli środowisko deweloperskie LastPass
- Wykradli kod źródłowy i zastrzeżone dane techniczne
- Później włamali się do chmurowego magazynu GoTo, wykorzystując ponownie użyte poświadczenia
- Wykradli kopie zapasowe baz danych LastPass, w tym zaszyfrowane sejfy użytkowników
Część z tych sejfów zawierała klucze prywatne kryptowalut i frazy seed.
Dlaczego kradzieże nastąpiły po latach
Choć sejfy były zaszyfrowane, użytkownicy ze słabymi lub ponownie używanymi hasłami głównymi byli narażeni na łamanie offline.
Zamiast opróżniać portfele od razu, atakujący:
- Stopniowo odszyfrowywali sejfy w miarę upływu czasu
- Wydobywali klucze prywatne
- Opróżniali portfele w odrębnych falach, miesiące lub lata później
„Opróżnianie portfeli następowało długo po pierwotnym włamaniu — nie od razu”.
— TRM Labs
Dowody ze strony organów ścigania
Tajna Służba USA (U.S. Secret Service) potwierdziła ten schemat w 2025 roku po zajęciu ponad 23 mln USD w kryptowalutach, stwierdzając, że:
- Urządzenia ofiar nie były zainfekowane malware
- Nie znaleziono dowodów phishingu
- Klucze prywatne zdobyto poprzez odszyfrowanie wykradzionych sejfów haseł
Pranie pieniędzy przez CoinJoin
Po opróżnieniu portfeli atakujący:
- Zamieniali aktywa na Bitcoin
- Wykorzystywali funkcję CoinJoin w Wasabi Wallet, aby zaciemnić transakcje
- Próbowali ukryć aktywność za pomocą miksowania
Mimo to TRM skutecznie rozdzieliło zmiksowane transakcje, analizując:
- Wzorce czasowe
- Strukturę transakcji
- Zachowanie związane z konfiguracją portfeli
Skala kradzieży
TRM szacuje, że:
- ponad 28 mln USD zostało skradzione pod koniec 2024 / na początku 2025 roku
- kolejne 7 mln USD w późniejszej fali (wrzesień 2025)
Środki były wielokrotnie wypłacane za pośrednictwem giełd powiązanych z Rosją, w tym Cryptex i Audi6, co wskazuje na jedną, skoordynowaną grupę zagrożeń.
Najważniejszy wniosek
Ten przypadek pokazuje długoterminowe ryzyko związane z włamaniami:
- Zaszyfrowane dane nadal mogą być niebezpieczne
- Słabe hasła umożliwiają wykorzystywanie danych przez lata
- Menedżery haseł przechowujące sekrety związane z kryptowalutami wymagają wyjątkowej ostrożności
Jeśli przechowywałeś klucze kryptowalutowe w menedżerze haseł dotkniętym wcześniejszymi włamaniami, załóż długoterminowe ryzyko ujawnienia.
