Drei Jahre nachdem der Passwort-Manager LastPass zweimal gehackt wurde, beginnen wir endlich, die Auswirkungen zu erkennen, und zwar ziemlich große. Ein einzelnes Hacker-Opfer hat heute Kryptowährung im Wert von 75 Millionen US-Dollar verloren, wie aus gerade veröffentlichten Gerichtsakten hervorgeht.
Bundesermittler des US-Geheimdienstes glauben, dass es diese LastPass-Hacker waren, die 283.326.127 US-Dollar in der Kryptowährung XRP verloren haben. In einer von Forbes geprüften Beschlagnahmungsanordnung heißt es, dass XRP zum Zeitpunkt des Diebstahls im Januar 2024 einen Wert von 150 Millionen US-Dollar hatte. Dank eines massiven Anstiegs der Kryptowährungswerte nach Trumps Wahl zum Präsidenten sind die gestohlenen Gelder jetzt etwa 716 Millionen US-Dollar wert.
„Das Ausmaß des Diebstahls und die schnelle Verschwendung von Geldern erforderten die Bemühungen mehrerer böswilliger Akteure.“ -UNS. Geheimdienst
Das Opfer, ein anonymer Einwohner von San Francisco, glaubte, angemessene Maßnahmen zum Schutz seines Kontos ergriffen zu haben. Nach Angaben eines Kollegen des Opfers, der bei der Verwaltung der Kryptowährung mitgeholfen hatte, wurden alle physischen Dateien der privaten Schlüssel der Brieftasche zerstört, und laut Durchsuchungsbefehl war das Master-Passwort für den Zugriff auf das LastPass-Konto ein „langes und eindeutiges“ Passwort.
Agenten gehen davon aus, dass LastPass-Hacker hinter dem Diebstahl stecken, da es Ähnlichkeiten mit anderen Hacks gibt, die vom FBI untersucht und mit denen im Jahr 2022 in Verbindung gebracht werden. Dem Durchsuchungsbefehl zufolge hat der Secret Service bei der Untersuchung der Geräte, mit denen auf die LastPass-Konten der Opfer zugegriffen wurde, keine anderen Anzeichen einer Infektion und „ähnliche Diebstahlsmuster“ wie bei anderen Angriffen gefunden, die das FBI untersucht.
Seit Beginn der Ermittlungen im letzten Jahr hat der Secret Service die Gelder über zahlreiche Börsen auf der ganzen Welt verfolgt, während Hacker die Kryptowährungen schnell gewaschen haben. „Das Ausmaß des Diebstahls und die schnelle Verschwendung von Geldern erforderten die Bemühungen mehrerer böswilliger Akteure, was mit Schwachstellen im Online-Passwort-Manager und Angriffen auf andere Opfer gestohlener Kryptowährungen übereinstimmt“, schrieben die Ermittler. „Aus diesen Gründen gehen die Strafverfolgungsbehörden davon aus, dass die Kryptowährung von Opfer 1 von denselben Angreifern gestohlen wurde, die den Online-Passwort-Manager ins Visier genommen haben, wie auch andere Opfer unter ähnlichen Umständen.“
„LastPass hat eng mit mehreren Vertretern der Strafverfolgungsbehörden zusammengearbeitet, seit wir diesen Vorfall im Jahr 2022 erstmals offengelegt haben. Bis heute haben uns unsere Strafverfolgungspartner keine schlüssigen Beweise vorgelegt, die einen Kryptowährungsdiebstahl mit unserem Vorfall in Verbindung bringen.“ LastPass sagte in einer Erklärung: „Gleichzeitig haben wir stark in die Stärkung der Sicherheitsmaßnahmen investiert und werden dies auch weiterhin tun.“
Bisher wurden keine Verdächtigen genannt, obwohl die Gelder auf Kryptowährungskonten zurückgeführt werden konnten, die mehreren Einwohnern Russlands und Lettlands gehörten. Während die Beschlagnahmungsanordnung lediglich die Wiedererlangung gestohlener Gelder in Höhe von 23 Millionen US-Dollar vorsieht, sind die Ermittlungen noch nicht abgeschlossen und es könnten weitere Beschlagnahmungen bevorstehen. Das Justizministerium lehnte eine Stellungnahme ab.
Dieser Monat war ein Spitzenmonat für groß angelegte Kryptowährungsdiebstähle. Im Februar stahlen Hacker 1,5 Milliarden US-Dollar von der ByBit-Börse, was als der größte Kryptowährungsdiebstahl in der Geschichte bezeichnet wurde. Das FBI und Kryptowährungsforscher behaupten, Nordkorea stecke dahinter.