Der pseudonyme Blockchain-Analyst ZachXBT und der MetaMask-Entwickler Taylor Monahan haben die Transaktionen von mindestens 80 Wallets untersucht, welche im Zusammenhang mit dem Datenleck von LastPass stehen. Dabei handelt es sich um einen Passwort-Manager. Der Vorfall ereignete sich im Jahr 2022.
Laut diesen Daten, wie ZachBXT in seinem X-Post darstellt, stahl der Dieb am 25. Oktober Kryptowährungen im Wert von 4,4 Millionen US-Dollar. Mehr als 25 Nutzer von LastPass waren allein an diesem Tag betroffen.
LastPass Diebstahl zeigt die Gefahren auf
ZachXBT weist in seinem Post auf die Gefahren von Passwort-Managern hin. Die Nutzer hatten LastPass verwendet, um darin ihre Seed-Phrases und privaten Schlüssel aufzubewahren. Er sagt auch, Nutzer des Passwort-Managers sollten ihre Kryptowährungen sofort abziehen.
Just on October 25, 2023 alone another ~$4.4M was drained from 25+ victims as a result of the LastPass hack.
Cannot stress this enough, if you believe you may have ever stored your seed phrase or keys in LastPass migrate your crypto assets immediately. pic.twitter.com/26HsxrlnCb
— ZachXBT (@zachxbt) October 27, 2023
Die Seed-Phrases werden genutzt, um das Krypto-Guthaben auf einer Wallet wiederherzustellen. Wer die Seed-Phrase besitzt, kann auf die Kryptowährungen in jeder beliebigen Wallet zugreifen und sie auf eine andere Adresse ziehen. Daher ist es wichtig, den Seed-Phrase nie auf dem Computer aufzubewahren.
Doch in einem Passwort-Manager wie LastPass sind sie gut geschützt, dachten sich die Nutzer der Software. Auch diese Programme können Sicherheitslücken aufweisen, wie dieser Vorfall zeigt. Beim Bitcoin Wallet erstellen schreibt man sich die Seed-Phrase am besten auf einem Blatt Papier auf. Hier haben Hacker keinen Zugriff.
Kryptos im Wert von 35 Millionen US-Dollar gestohlen
LastPass meldete im Dezember 2022 von dem Diebstahl. Ein Angreifer hatte im August desselben Jahres gezielt einen Mitarbeiter kompromittiert, um dadurch an Anmeldeinformationen zu gelangen. Mit diesen verschaffte er sich Zugriff zu Kundeninformationen.
Zu den gestohlenen Informationen gehört auch eine verschlüsselte Kundendatenarchivierung. LastPass warnte, der Angreifer könnte diese entschlüsseln, indem er die Master-Passwörter der Kunden erriet.
r/t LostPass?
After the LastPass hack, here’s what you need to know…https://t.co/8x47Vze0lb
— Graham Cluley is on Threads, Mastodon, BlueSky (@gcluley) January 4, 2023
In einem Blogpost aus dem September dieses Jahres kommt der Cybersicherheits-Experte Brian Krebs zu dem Schluss, dass einige der Kundendatenarchive entschlüsselt wurden. Der Dieb konnte dadurch Kryptowährungen von 150 Nutzern im Wert von 35 Millionen US-Dollar stehlen.
Im Januar 2023 wurde eine Sammelklage gegen LastPass eingereicht. Die Klägerschaft besteht aus Nutzern des Passwort-Managers. Die behaupten, das Datenleck im August dieses Jahres hatte zu einem Raub von Bitcoin im Wert von 53.000 US-Dollar geführt.
