密碼管理公司LastPass資料外洩影響延燒迄今，俄羅斯駭客疑竊取2,800萬美元

2022年密碼管理工具開發商LastPass爆發資料外洩事件，資安業者指出，事件負面影響持續延燒到2025年，仍然對用戶造成近3,000萬美元金錢損失，而俄羅斯駭客可能是背後元兇。

2022年一群駭客駭入LastPass內部系統造成將近3,000萬用戶管理庫（vault）的敏感憑證，包括加密金鑰和確保加密貨幣錢包的種子密語（seed phrases）備份曝露。而這些資產外洩遺害到今天。

資安廠商TRM Labs指出，這些憑證雖然經過加密，一開始攻擊者沒有用戶的主密碼可能無法讀取，但他們可以整批下載，任何使用弱主密碼的管理庫最後都會被離線破解，使得單一入侵事件演變成多年破口，讓攻擊者慢慢破解密碼、存取加密貨幣錢包悄悄提款。

TRM研究人員分析2024和2025年的電子錢包的外洩金流，發現是俄羅斯駭客操作的網路犯罪。他們發現有人透過混幣器（mixer）存取受害者加密貨幣錢包進行混幣和洗錢行為，這階段運作和俄羅斯基礎架構有多次互動，而加密貨幣出金（off-ramps）也是使用高風險的俄羅斯交易平臺，因此判斷近兩年竊取財務活動和俄國駭客的關聯性。研究人員估計近兩年2024年底到2025年初LastPass用戶被竊走的加密貨幣被轉成比特幣，再經由Wasabi Wallet洗錢，總資產超過2,800萬美元。

LastPass資安防護不周已引發用戶集體控告。英國隱私主管機關英國資訊委員會辦公室（Information Commissioner's Office，ICO）則基於160萬英國用戶個資外洩，在2025年12月初判罰LastPass 120萬英鎊。