TRM Labs rastreia anos de roubo de criptomoeda decorrentes do vazamento de cofres do LastPass em 2022

Em 2022, a LastPass sofreu um vazamento em que atacantes conseguiram exfiltrar backups criptografados dos cofres de senhas dos usuários. Diferentemente de um vazamento de credenciais em texto claro, esse tipo de dado só é útil ao atacante se ele conseguir quebrar a criptografia do cofre — e é exatamente aí que mora o problema de longo prazo: cofres protegidos por senhas mestras fracas podem, em tese, ser quebrados offline através de força bruta ou ataques de dicionário, sem que a vítima perceba nada, já que o processo não depende de nenhuma interação com os servidores da LastPass.

Segundo a reportagem, foi exatamente isso que aconteceu: atacantes tiveram, na prática, anos para tentar quebrar cofres com senhas mestras fracas em segundo plano, e à medida que iam obtendo sucesso, drenavam chaves privadas de criptomoeda e frases de recuperação (seed phrases) armazenadas dentro desses cofres. Isso transforma um incidente pontual de 2022 em uma fonte de comprometimento contínuo que só veio à tona anos depois, através do rastreamento das movimentações na blockchain, e não de qualquer alerta da própria LastPass.

A parte tecnicamente mais interessante do caso, do ponto de vista de forense de blockchain, é a metodologia usada pela TRM Labs para conectar os saques de cripto ao vazamento original. Mesmo com o uso de técnicas de mistura de moedas como CoinJoin (via Wasabi Wallet), a TRM conseguiu aplicar demixing — análise de clustering de saques e de peeling chains (cadeias de transações que vão progressivamente descascando pequenas quantias de um valor maior) — para conectar os fundos até corretoras russas sancionadas, como Cryptex e a citada Audia6, além do serviço de mistura Cryptomixer.io. A correlação de infraestrutura operacional repetida ao longo do tempo foi o que permitiu ligar saques aparentemente desconexos a um mesmo grupo de atores.

Para quem trabalha com resposta a incidentes e investigação de crimes financeiros, o caso reforça duas lições práticas: primeiro, que um vazamento de dados criptografados não deve ser tratado como resolvido só porque a criptografia aguenta no curto prazo — a exposição real depende da força das senhas escolhidas pelos usuários, que fica fora do controle do provedor. Segundo, que técnicas de mistura de criptomoeda, mesmo bem-executadas, não são à prova de análise: correlação de padrões operacionais e de infraestrutura ao longo do tempo continua sendo uma ferramenta forense eficaz contra tentativas de lavagem via blockchain.