LastPass tehdit aktörlerinin 40’tan fazla mağdur adresinden toplam 5.36 milyon dolar çaldığı iddia edildi, blokzincir dedektifi ZachXBT bildirdi.
Çalınan fonlar Ethereum (ETH) ile değiştirildi ve Ethereum’dan Bitcoin (BTC) gibi farklı anlık borsalara aktarıldı, ZachXBT Telegram’da yazdı .
LastPass güvenlik ihlali Aralık 2022’de, saldırganların müşteri anahtarları ve API belirteçleri gibi geniş veri kütüphanesini çaldığı bir zamanda başlamıştır.
Geçen yıl, ZachXBT ve MetaMask geliştiricisi Taylor Monahan, 80’e yakın cüzdandan fonların hareketini takip ettiklerini bildirdi. Cüzdanlar 25 Ekim 2023’te hedef alındı, ve yaklaşık 25 kişinin kripto paralarında 4.4 milyon dolar kaybettiği bildirildi.
LastPass bağlantılı başka bir kripto saldırısı Şubat 2024’te bildirildi, ve bu olayda 6.2 milyon dolardan fazla kayıp yaşandı.
“Bunu yeterince vurgulayamam, eğer tohum ifadenizi veya anahtarlarınızı LastPass’te sakladığınızı düşünüyorsanız, kripto varlıklarınızı hemen taşıyın,” ZachXBT geçen yıl bir gönderi yazdı.
ABD Mahkemesi LastPass’a Dava Açtı
2023’ün başlarında, birkaç kullanıcı cüzdanlarından önemli miktarda kripto kaybettiklerini bildirdi. LastPass bu kullanıcı cüzdanlarının anahtarlarını saklıyordu.
Olayın ardından, ABD Massachusetts Bölge Mahkemesi Ocak 2023’te şirkete karşı dava açtı . Mahkeme, şirketin kullanıcı verilerini yeterince koruyamadığını iddia etti.
Görünüşe göre saldırı, platformda çalışan bir mühendisinin kurumsal dizüstü bilgisayarına erişim sağlayarak gerçekleştirildi. Çalışan bilgisayarı, saldırganlara kaynak kodu, gizli teknik dokümantasyon ve dahili sistem sırlarını sağladı.
Hackerlar ayrıca şifrelenmiş müşteri kasa verilerinin yedeklerini de çaldı. Saldırgan, hesabın ana parolasını kaba kuvvetle tahmin ederse bu verileri çözebilir.
İlk ihlal, saldırganın LastPass’in 200 kaynak kodu deposundan 14’ünü çıkarmasına olanak sağladı, Cryptonews geçen yıl bildirdi. Bu olay, LastPass müşteri veritabanının bir kopyasının elde edilmesiyle sonuçlanan daha geniş kapsamlı bir saldırının takipçisiydi.
