Aproximadamente 25 usuarios de criptomonedas que utilizan el destacado administrador de contraseñas LastPass perdieron más de 4 millones de dólares en activos digitales el 25 de octubre, según el detective on-chain ZachXBT.
ZachXBT, en colaboración con su colega investigador Tayvano, rastreó el exploit hasta diciembre de 2022, cuando LastPass confirmó una violación de seguridad.
4,4 millones de dólares robados a clientes de LastPass
En ese momento, LastPass dijo que los hackers realizaron una copia de seguridad de los datos de la bóveda de sus clientes. Esto incluía información sobre nombres de usuario y contraseñas de sitios web, notas seguras y datos completos de formularios.
Desde entonces, los actores maliciosos han vaciado los monederos de los usuarios de criptomonedas que podrían haber guardado sus frases iniciales en la plataforma. Los informes habían estimado que desde diciembre se habían robado más de 35 millones de dólares a más de 150 víctimas.
Una publicación del 27 de octubre de Tayvano reveló que el exploit más reciente afectó a alrededor de casi 80 direcciones de criptomonedas pertenecientes a estas 25 víctimas. Dando como resultado una pérdida de 4,4 millones de dólares.
Victimas del hack de LastPass. Fuente; ZachXBT
“La mayoría, si no todas, las víctimas son usuarios de LastPass desde hace mucho tiempo y/o confirman haber almacenado sus claves/semillas en LastPass”, dijo Tayvano.
Expertos en seguridad asesoran sobre próximas acciones
Varios expertos en criptoseguridad han estado asesorando a los usuarios de LastPass sobre cómo mitigar mayores pérdidas derivadas del evento.
Tayvano dijo que los usuarios a quienes se les han vaciado los monederos deberían “ponerse en contacto y PRESENTAR UN IC3 AHORA MISMO SI NO LO HAS HECHO YA”. El IC3, abreviatura de Internet Crime Complaint Center, es un centro central para denunciar delitos cibernéticos.
En una publicación separada del 22 de octubre en X, el experto en seguridad recordó a la comunidad que todas las credenciales que tenían en LastPass en este momento del año pasado deberían considerarse comprometidas.
Debido a esto, Tayvano instó a la comunidad a “dar prioridad a la rotación de sus secretos más valiosos/más antiguos + migrar activos hoy”. Mientras tanto, ZachXBT recomienda encarecidamente que:
“Si cree que alguna vez almacenó su frase inicial o sus claves en LastPass, migre sus criptoactivos de inmediato”.
LastPass recomendó además a sus usuarios que nunca reutilicen su contraseña maestra en otros sitios web y que también minimicen el riesgo cambiando las contraseñas de los sitios web que han almacenado.
