Un análisis forense en blockchain ha revelado que la brecha de seguridad de LastPass ocurrida en 2022 no fue un incidente aislado con daños contenidos en el tiempo, sino que ha servido de palanca para una campaña de robo de criptomonedas que continúa activa casi tres años después.
Según los hallazgos presentados por la firma de inteligencia blockchain TRM Labs, los atacantes que accedieron en 2022 a copias cifradas de millones de bóvedas de usuario han estado descifrando contraseñas maestras débiles de forma offline, explotando esa ventana de oportunidad hasta finales de este año para vaciar criptocarteras y blanquear activos.
El análisis forense ha permitido trazar más de 35 millones de dólares en activos digitales robados a raíz de la brecha, de los cuales aproximadamente 28 millones se convirtieron en Bitcoin y se lavaron a través de Wasabi Wallet entre finales de 2024 y principios de este ejercicio. Otros 7 millones fueron detectados en una segunda ola en septiembre.
Conexión con Moscú
El análisis de las transacciones ha revelado patrones consistentes en el uso de mezcladores (mixers) de criptomonedas para ocultar el origen de los fondos, así como la posterior transferencia a exchanges asociados con el ecosistema del cibercrimen ruso.
A pesar del uso de técnicas de anonimización como CoinJoin, los investigadores han logrado reconstruir las rutas del dinero, identificando indicadores de control común y continuidad operativa, lo que apunta a una campaña organizada y prolongada en el tiempo, no a ataques aislados.
En paralelo a estos hallazgos, las autoridades regulatorias de Reino Unido han impuesto recientemente una multa millonaria a LastPass por deficiencias en sus medidas de seguridad, al considerar que los fallos facilitaron la exposición de datos de hasta 1,6 millones de usuarios.
Aunque la compañía ha defendido su arquitectura de cifrado de conocimiento cero (zero‑knowledge), los expertos subrayan que este modelo depende críticamente de la fortaleza de la contraseña maestra. Cuando esta es débil o no se actualiza tras una brecha, el cifrado deja de ser una protección efectiva frente a ataques offline.
Una brecha difícil de cerrar
Este caso es una clara muestra de que algunas brechas que implican exfiltración de datos cifrados no quedan cerradas con el paso de los meses, ya que si dichos detalles siguen en manos de atacantes pueden ser explotados años después.
“Lo que hace especialmente preocupante esta brecha es que las bóvedas de LastPass no se vuelven seguras por sí solas con el tiempo. Si un usuario tenía una contraseña maestra débil, los atacantes pueden descifrarla offline incluso años después del incidente original, lo que significa que el robo de fondos puede continuar mucho tiempo después de la brecha”, han destacado desde TRM Labs.
Por ello los expertos en seguridad recomiendan cambiar inmediatamente la contraseña maestra tras cualquier incidente grave, usar claves de alta entropía y autenticación multifactor robusta y evitar almacenar claves privadas o frases semilla de criptomonedas sin protecciones adicionales.
Deja un comentario