[ziesell]

Aus Kryptowallets: Angreifer stiehlt durch Lastpass-Hack an einem Tag Millionen

4,4 Millionen US-Dollar erbeutete ein Angreifer zuletzt an einem einzigen Tag von mehreren Kryptowallets. Die Zielpersonen waren Lastpass-Nutzer.



Allein am 25. Oktober 2023 ist es einem böswilligen Akteur gelungen, Kryptowährungen im Wert von etwa 4,4 Millionen US-Dollar, die auf über 80 Kryptowallets verteilt waren, von mehr als 25 Zielpersonen zu stehlen. Die meisten Opfer dieses Angriffs – wenn nicht gar alle – sind angeblich langjährige Lastpass-Nutzer und/oder haben bestätigt, dass sie ihre Schlüssel oder Seeds für den Zugriff auf ihre Wallets bei Lastpass gespeichert haben.

Darauf aufmerksam gemacht hat ein Kryptoexperte, der unter dem Pseudonym ZachXBT bekannt ist, sowie der Metamask-Entwickler Taylor Monahan. Eine Liste der mit dem Angriff verbundenen Wallet-Adressen ist in einem von Monahan veröffentlichten Bericht zu finden.

ZachXBT empfiehlt Lastpass-Nutzern angesichts der jüngsten Diebstähle, ihre Kryptowährungsbestände sofort auf eine andere Wallet zu übertragen, sofern sie ihre Seed-Phrase oder Schlüssel in Lastpass gespeichert hatten. "Wenn Sie den Verdacht haben, dass Sie bereits Opfer des Lastpass-Hacks waren, senden Sie mir eine DM mit den TXN-Hashes des Diebstahls", rät er Betroffenen außerdem, um weitere Ermittlungen zu unterstützen.

Lastpass-Hack mit teuren Folgen

Schon Anfang September gab es Berichte über Kryptodiebstähle, die mit einem Ende 2022 bekanntgewordenen Datenleck bei dem Anbieter des Passwortmanagers Lastpass in Zusammenhang standen. Auch damals war Taylor Monahan in die Untersuchungen involviert, die Diebstähle im Gesamtwert von über 35 Millionen US-Dollar von den Kryptowallets von mehr als 150 Personen zutage förderten – die meisten davon Lastpass-Nutzer.

Lastpass-CEO Karim Toubba behauptete kurz nach dem Lastpass-Hack, die Passwörter der Nutzer seien "aufgrund der Zero Knowledge Architektur von Lastpass sicher verschlüsselt". Es seien zwar verschlüsselte Tresore gestohlen worden, jedoch sei deren Entschlüsselung nur möglich, wenn der Angreifer das zugehörige Master-Passwort kenne.

Ob er dieses knacken kann, hängt jedoch auch von der Komplexität des verwendeten Passworts ab. "Je nach Länge und Komplexität Ihres Master-Passworts und der eingestellten Iterationszahl sollten Sie Ihr Master-Passwort zurücksetzen", forderte das Unternehmen Nutzer mit schwachen Master-Passwörtern in einem im März veröffentlichten Sicherheitshinweis auf. Best Practices für die Erstellung eines Master-Passwortes hat Lastpass in seinem Supportbereich veröffentlicht.

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]