El 23 de septiembre del año pasado saltaba la liebre: LastPass, una de las firmas de gestión de contraseñas más conocidas, había sido objeto de un importante robo de datos con elevado riesgo de seguridad para sus usuarios. Aunque la información oficial no decía nada de eso. La compañía remoloneó a la hora de publicar un comunicado, pese a tener constancia del suceso en agosto, y cuando lo hizo fue de la forma más obtusa imaginable, pero con el tiempo la magnitud del asunto se hizo innegable. Ahora sabemos que dicha brecha habría sido explotada para robar millones en criptoactivos.
Según el experto en ciberseguridad Brian Krebs, varios investigadores han encontrado pruebas muy fiables que asocian la información extraída de LastPass con 150 víctimas de robo entre las que se incluirían empleados de firmas relacionadas con criptodivisas y NFT, inversores, programadores de protocolos y otros perfiles muy relevantes. No eran gente anónima. El atacante o los atacantes, fueran quienes fueran, filtraron la información y fueron directamente a por personas con carteras potencialmente jugosas.
En total, se habrían sustraído alrededor de 35 millones de dólares.
Taylor Monahanm, responsable de producto de la cartera MetaMask, ha investigado el asunto y cree tener el hilo conductor entre los robos y las brechas de seguridad de LastPass: casi todas las víctimas habían utilizado el gestor de contraseñas para almacenar la clave privada (la frase semilla o seed phrase) con la que protegían sus activos. Asimismo, los robos poseen una "firma única" que ha sido compartida con KrebsOnSecurity y que por razones de seguridad no ha divulgado públicamente.
LastPass, que ha sido víctima de al menos otro robo de información utilizando los datos descargados en el incidente de agosto, no ha querido responder a las preguntas de Krebs, limitándose a señalar que los hechos están siendo investigados por la justicia y son además objeto de un proceso judicial. "Alentamos a los investigadores a que compartan cualquier información útil que crean tener con nuestro equipo de Inteligencia de Amenazas", apostilla su mensaje.
