Crypto dief steelt €4,4 miljoen na beveiligingsincident LastPass

Een crypto dief heeft € 4,4 miljoen buit gemaakt via LastPass. In september werd onthuld dat er sinds 2022 minstens €35 miljoen aan crypto is gestolen door het beveiligingslek. Dit bedrag blijft ook na het laatste beveiligingsincident gestaag stijgen.

Totaal €4,4 miljoen in crypto

Minimaal 25 personen zijn naar verluidt €4,4 miljoen in crypto kwijtgeraakt. Dat gebeurde uit circa 80 wallets. De diefstallen zijn allemaal veroorzaakt door een data-inbreuk uit 2022 die de wachtwoordbeheer software LastPass heeft getroffen.

Wallet sleutel opgeslagen in LastPass

Op 27 oktober plaatste de anonieme blockchain-onderzoeker ZachXBT een bericht op X. Samen met MetaMask ontwikkelaar Taylor Monahan heeft hij vanaf 25 oktober de bewegingen van minstens 80 getroffen wallets in kaart gebracht. Monahan liet in een rapport weten:

"De meeste, zo niet alle, slachtoffers zijn al lange tijd LastPass gebruikers. Ze geven toe dat ze hun crypto wallet sleutels of seeds in LastPass hebben opgeslagen."

Medewerker LastPass getarget

In december 2022 onthulde LastPass dat een aanvaller in augustus buitgemaakte informatie had gebruikt om een medewerker van LastPass te targeten. Daardoor kon de hacker inloggegevens bemachtigen en opgeslagen klantinformatie ontcijferen.

Er werd daarnaast tevens een backup van versleutelde klanten data gestolen. LastPass waarschuwde dat als de aanvaller het hoofdwachtwoord van het account kon raden, hij de data eenvoudig zou kunnen ontcijferen.

Collectieve rechtszaak LastPass

In september berichtte cybersecurity journalist Brian Krebs dat sommige LastPass kluisjes kennelijk waren gekraakt. Er zou voor meer dan €35 miljoen aan crypto zijn gestolen. Verdeeld over zo'n 150 slachtoffers.

In januari kreeg LastPass een collectieve rechtszaak aan zijn broek. De aanklagers beweren dat er voor ongeveer € 53.000 aan Bitcoin was gestolen. Dit zou allemaal zijn veroorzaakt door het beveiligingslek van augustus 2022.

In zijn laatste bericht gaf ZachXBT iedereen een advies mee. Hij adviseerde mensen die ooit een wallet seed of privé sleutel in LastPass hebben opgeslagen, om deze crypto assets direct te verplaatsen.