Il breach di LastPass ha compromesso centinaia di cryptowallet

Set 11, 2023 Marina Londei Approfondimenti, Attacchi, Hacking, In evidenza, News, RSS 0

Secondo alcuni esperti di sicurezza, dopo il breach che ha colpito LastPass nel 2022 alcuni attaccanti sarebbero riusciti ad accedere ad alcune password memorizzate nelle casseforti e utilizzarle.

Come si legge su KrebsonSecurity, Taylor Monahan, lead product manager di MetaMask, un software per la gestione di cryptowallet, ha identificato furti di criptovalute che hanno colpito più di 150 utenti, per un totale di 35 milioni di cripto rubati. Secondo Monahan, questi furti sarebbero legati proprio alla violazione dei dati di LastPass.

LastPass e le “seed phrase”

Le vittime ha spiegato Monahan, erano tutte investitori esperti e molto attenti alla sicurezza dei propri account; nessuno di essi, inoltre, ha subito compromissioni di account email come di solito accade durante i furti di criptovalute.

Dopo un’analisi durata mesi, durante i quali Monahan e il suo team hanno cercato di capire cosa accomunasse le vittime degli attacchi, il manager è arrivato alla conclusione che ogni investitore colpito ha utilizzato LastPass per archiviare la propria “seed phrase”, ovvero la frase utilizzata per accedere ai proprio portafogli.

Pixabay

Chiunque sia in possesso della seed phrase di un utente ottiene accesso istantaneo al portafoglio di criptovalute e può spostare i fondi ovunque egli voglia. Vista l’importanza di questa frase chiave, le best practice di sicurezza consigliano di memorizzarla cifrata in un container protetto – una cassaforte come LastPass, per l’appunto.

Anche Nick Bax, direttore analytics presso Unciphered, una compagnia per il recupero del portafoglio di criptovalute, ha confermato che il comune denominatore tra le vittime è proprio l’utilizzo di LastPass per memorizzare la seed phrase. “Ho eseguito una mia personale analisi sui dati forniti da MetaMask e sono giunto alla stessa conclusione di Taylor” ha affermato Bax.

I ricercatori di sicurezza coinvolti nell’analisi sono riusciti a individuare gli indirizzi blockchain verso i quali sono stati trasferiti i fondi, riuscendo così a individuare tutte le vittime coinvolte nello stesso attacco. In seguito anche Chainalysis, una compagnia di analisi delle blockchain, ha confermato un furto multimilionario ai danni dei propri utenti con le stesse modalità individuate da MetaMask e Unciphered.

Sicuro, ma non del tutto

Come gli altri password manager, LastPass utilizza una “master password” per accedere alla cassaforte. Se è vero che senza questa password non è possibile accedere ai dati cifrati, è anche vero che se i cybercriminali riescono a ottenere i dati senza dover interagire con il servizio possono eseguire attacchi brute-force per decifrare le password.

Pixabay

Sfruttando dispositivi abbastanza potenti, gli attaccanti possono inizializzare un processo di decifrazione intensivo che diventa ancora più semplice se le password non sono abbastanza sicure.

Bisogna considerare, spiegano gli esperti di sicurezza, che anche la master password può essere decifrata se non è abbastanza robusta. LastPass ha introdotto il minimo di 12 caratteri per la chiave master nel 2018, ma non ha obbligato i vecchi utenti ad aggiornarla per rispondere ai nuovi requisiti di sicurezza.

“Se sei un cliente LastPass da molto tempo, è molto probabile che non tu sia nemmeno a conoscenza di questo requisito” ha commentato Wladimir Palant, ricercatore di sicurezza e primo sviluppatore di Adblock Plus.

A questo si aggiunge il fatto che LastPass non ha aggiornato le impostazioni di sicurezza per tutti gli utenti, in particolare quelle relative al numero di iterazioni utilizzato per cifrare la master password.

Inizialmente le impostazioni prevedevano un numero di iterazioni variabile da 1 a 100; questo numero è salito a 5.000 nel 2013, poi a 100.100 nel 2018 e di recente è arrivato a 600.000. Il problema, ha spiegato Palant, è che LastPass non ha effettuato la migrazione per tutti gli utenti, col risultato che chi usa il servizio da più tempo è rimasto più esposto agli attacchi brute force.

Pixabay

Le differenze di tempistiche per decifrare le password sono enormi ed è per questo che il numero di iterazioni è fondamentale per ridurre il rischio di attacchi di successo. “La combinazione di password debole, “vecchia” cassaforte e basso numero di iterazioni rende le password decifrabili, anche se con un po’ di sforzo” ha affermato Nicholas Weaver, ricercatore presso la University of California.

Come proteggersi?

Monahan ha invitato tutti gli utenti che hanno archiviato password importanti, soprattutto quelle legate ad account di criptovalute, di modificarle immediatamente e migrare i propri investimenti su portafogli hardware offline.

KrebsonSecurity ha chiesto un commento a LastPass sulla questione, ma la compagnia non ha risposto alla domanda spiegando di essere attualmente coinvolta in un’indagine delle forze dell’ordine e in diverse cause legali legate alla violazione del 2022.

Condividi l'articolo