Злом LastPass показує російську кіберзлочинність у мережі, Джастін Сон

• TRM відстежила витоки гаманців, пов’язаних з LastPass, до високоризикових російських бірж, що свідчить про організоване відмивання коштів та контроль кіберзлочинців.

• Більше ніж $28M у криптовалюті було переміщено через Wasabi Wallet із використанням шаблонів SegWit та RBF, що виявило послідовні підписи хакерів.

• Міксери не здатні повністю приховати активність; повторювані маршрути виведення та географічні шаблони викривають системну російську інфраструктуру кіберзлочинності.

Значний витік даних LastPass 2022 року продовжує впливати на користувачів по всьому світу, підкреслюючи критичні ризики на ланцюгу. Засновник Tron Джастін Сон написав у Твіттері: “Це варто прочитати. trmlabs відстежила останні витоки з гаманців, пов’язаних із витоком LastPass 2022 року, і показала, як кошти переміщувалися через міксери та оф-рапи.”

Згідно з доповіддю TRM, витік розкрив резервні копії приблизно 30 мільйонів клієнтських сейфів із чутливими даними, включаючи приватні ключі криптовалют. Хакери масово завантажили зашифровані сейфи, створюючи довгостроковий ризик для користувачів із слабкими головними паролями. Більше ніж 25 мільйонів користувачів можуть з часом зазнати поступового виведення активів після початкового злома.

Аналітики TRM відстежили останні витоки гаманців через міксери та на високоризикові російські біржі, одна з яких отримала кошти, пов’язані з LastPass, ще у жовтні 2025 року. Компанія підкреслила повторювану взаємодію з інфраструктурою, асоційованою з Росією, та послідовний контроль у діяльності до та після міксування.

Відтак, TRM оцінила участь російських кіберзлочинців у цих операціях відмивання. “Ці висновки дають чітке уявлення про те, як викрадені активи переміщуються та монетизуються,” зазначили в TRM, підкреслюючи масштаб загрози.

Деміксинг розкриває потоки викрадених коштів

TRM виявила послідовний підпис у ланцюгу, що включає використання SegWit та транзакції Replace-by-Fee. Не-біткойн активи швидко конвертувалися у Bitcoin через миттєві обміни перед входом у Wasabi Wallet.

Аналітики оцінюють, що понад 28 мільйонів доларів у криптовалюті було викрадено та відмито через Wasabi у період з кінця 2024 року до початку 2025 року. TRM проаналізувала групи депозитів і зняттів як координовані кампанії, що демонструє безперервність процесу відмивання.

“Ранні зняття з Wasabi відбувалися протягом кількох днів після початкових витоків гаманців, що свідчить про відповідальність самих зловмисників,” зазначено у доповіді.

Російські біржі як постійні оф-рапи

Вкрадені кошти проходили через російські біржі, включаючи збанкрутілий Cryptomixer.io та Audi6, що підсилює безперервність мережі. Повторне використання цих оф-рапов свідчить про системну російську інфраструктуру кіберзлочинності.

Висновки TRM підкреслюють, що міксери не здатні повністю приховати нелегальну діяльність, оскільки географічні та операційні шаблони виявляють контроль з боку зловмисників. Крім того, ці біржі залишаються ключовими у відмиванні коштів для груп, що займаються викупом програм-вимагачів, та для обходу санкцій.