LastPass、ハッカーが100以上のウォレットから1,240万ドルのETHを流出か

LastPassで100以上のウォレットから1,240万ドルのイーサリアムが流出か

2022年に発生したパスワードマネージャーLastPassのデータ侵害により、脅威アクターは新たな攻撃で、12月16日（月曜日）から17日（火曜日）の間に100以上のウォレットアドレスからユーザーから1,238万ドル（約19億円）を盗んだ。

ブロックチェーン調査を手掛ける@ZachXBTによると、LastPassハッカーは100以上のウォレットアドレスから数百万ドルのイーサリアム（Ethereum/ETH）を盗みんだ。犯罪者は複数のインスタント取引所を使用し、不正に得た富をETHからビットコイン（Bicoin/BTC）に素早く交換している。

LastPassは、仮想通貨ウォレットを保護するためのパスワード管理サービスで、同社は2022年に2回のハッキングを受け、1度目は8月に、そして2度目は10月に顧客キー、APIトークン、多要素認証シード、その他の機密セキュリティ情報への不正アクセスが発生。その後、2023年1月、ユーザーは同社に対して集団訴訟を起こしており、訴状によると、プロバイダーがユーザーデータを保護せず、セキュリティプロトコルが不十分であると主張されていた。

悪意のある人物が盗んだデータを利用して段階的に仮想通貨強盗を実行したため、同社にとって混乱の時代が続き、ある仮想通貨保有者は2023年4月に5万ドル（約768万円）の盗難をLastPassの責任として 非難 。同年10月後半には、25人の被害者がマルウェアの一種であるウォレットドレイン（wallet drainers）によって440万ドル（約6.7億円）を失い、LastPassは再び侵害で 非難の的 となった。

識者らによる警告

最新の事件は、犯罪者が2022年に盗まれた情報を利用し続けたため、LastPass関連の将来の攻撃について疑問を投げかける形となり、より大規模な仮想通貨コミュニティに既存のセキュリティ脅威を印象付けた。

⚠️ Reminder that if you ever stored your private keys or seed phrases in LastPass prior to 2023, your funds might be at risk. We've seen 15+ cases of potential LastPass-related hacks TODAY

Move your assets before hackers move them for you. For more information, keep reading🧵

— Security Alliance (@_SEAL_Org) December 16, 2024

ユーザーにとって唯一の解決策は、潜在的に露出しているウォレットをすべて放棄することで、メタマスク（MetaMask）の開発者であるテイラー・マノハン（Taylor Manohan）氏は、以前LastPassを使用したことがある場合は、資金を新しいウォレットに移行するようユーザーに 警告 。SEAL ORG（セキュリティアライアンス）と呼ばれるホワイトハット連合も、対策を講じなければ資産が危険にさらされる可能性があるとユーザーに警鐘を鳴らしている。

@ZachXBTは、攻撃者が「Last Pass の脅威アクター」というまとまった組織であるとも特定しており、ハッカーは保有資産を簡素化しようとしていた事も分かっている。これまでに合計 40 以上のアドレスが空になり、一部のケースでは、最近の資金入金直後に空になっていることから、アドレス監視の証拠が見られている。ウォレットの一部は、保管または中間保管のために取引所から資金を受け取り、着信トランザクションの直後に空になったという。