Covenant x402
hi
Pearl
Quantus
Pudgy Penguins
Boomer
Lighter
Ideas clave
- LastPass aceptó una propuesta de acuerdo de demanda colectiva por valor de hasta 24,45 millones de dólares. Reservó 8,2 millones de dólares para reclamaciones generales y 16,25 millones de dólares para pérdidas documentadas de criptomoneda.
- La brecha de 2022 dejó al descubierto bóvedas encriptadas. Los piratas informáticos utilizaron contraseñas maestras débiles para robar más de 438 millones de dólares, incluidos 150 millones del cofundador de Ripple, Chris Larsen.
- El ICO británico multó a LastPass con 1,2 millones de libras por fallos de seguridad que afectaron a 1,6 millones de usuarios. Se espera que en 2026 se apruebe otro acuerdo en Canadá, valorado en unos 3 millones de dólares.
La empresa de gestión de contraseñas LastPass ha aceptado una propuesta de acuerdo de demanda colectiva por valor de hasta 24,45 millones de dólares. El objetivo del acuerdo es resolver las reclamaciones relacionadas con la filtración de datos de 2022, que dejó al descubierto bóvedas cifradas de clientes y dio lugar a importantes robos de criptomonedas.
Presentado el 23 de diciembre de 2025 ante el Tribunal de Distrito de EE.UU. para el Distrito de Massachusetts, el acuerdo incluye pagos por reclamaciones generales y un fondo específico para pérdidas relacionadas con la criptomoneda. LastPass niega haber actuado mal, pero aceptó llegar a un acuerdo sin admitir su responsabilidad.
Cómo se produjo la filtración
La brecha comenzó en agosto de 2022. Los piratas informáticos accedieron al entorno de un desarrollador y robaron el código fuente. Utilizando ese acceso, entraron después en copias de seguridad de almacenamiento en la nube que contenían bóvedas de contraseñas de clientes.
Las bóvedas utilizaban encriptación AES de 256 bits. LastPass aplicó su sistema de “conocimiento-cero”. La empresa nunca almacenaba contraseñas maestras. Los piratas informáticos no podían acceder directamente a esas contraseñas.
Sin embargo, los datos robados incluían URL, metadatos y credenciales cifradas. Los expertos en seguridad explicaron que las contraseñas maestras fuertes son esenciales para mantener la seguridad de los almacenes. Pero las contraseñas débiles o reutilizadas eran vulnerables.
Los hackers utilizaron ataques de fuerza bruta y apuntaron a contraseñas débiles para descifrar bóvedas fuera de línea. Esto les dio acceso a información sensible, incluidas las frases semilla y las claves privadas de los monederos de criptomonedas.
Pérdidas y acciones legales
Los robos fueron importantes. Investigadores independientes, entre ellos ZachXBT, relacionaron los datos robados con más de 438 millones de dólares en pérdidas de criptomonedas a mediados de 2025.
Entre las víctimas se encontraba el cofundador de Ripple, Chris Larsen, que perdió 150 millones de dólares a principios de 2024. Oleadas de ataques a finales de 2024 drenaron millones más de otros usuarios.
La demanda colectiva combinaba múltiples reclamaciones. Los demandantes alegaban que LastPass no protegía las claves de acceso y no aplicaba prácticas sólidas de contraseña maestra.
El acuerdo propuesto reserva al menos 8,2 millones de dólares para pagos legales y reembolsos. Se reservan otros 16,25 millones de dólares para pérdidas documentadas de criptomoneda directamente relacionadas con la infracción.
Por separado, los reguladores también actuaron. En noviembre de 2025, la Oficina del Comisionado de Información del Reino Unido multó a LastPass con 1,2 millones de libras (unos 1,6 millones de dólares). La ICO declaró que 1,6 millones de usuarios británicos se habían visto afectados.
No encontró pruebas de descifrado masivo de contraseñas, pero criticó la debilidad de las salvaguardias. A principios de 2026 también se está avanzando en un acuerdo de demanda colectiva canadiense por valor de unos 3 millones de dólares.
Lo que viene después
El acuerdo estadounidense aún requiere la aprobación preliminar del tribunal. Si se concede, millones de miembros del grupo recibirán un aviso sobre cómo presentar reclamaciones. Los reembolsos generales cubrirán las pérdidas directas y los daños legales. El fondo de criptomonedas reembolsará los robos verificados relacionados con las cámaras acorazadas comprometidas.
Los expertos del sector afirman que el caso pone de manifiesto los riesgos de los gestores de contraseñas centralizados. Incluso los datos encriptados pueden causar daños si la contraseña maestra es débil. Los analistas recomiendan carteras de hardware y autocustodia para los activos digitales.
A medida que crecen las tenencias digitales, violaciones como ésta muestran la tensión entre comodidad y seguridad. Se aconseja a los usuarios afectados que estén atentos a las notificaciones judiciales oficiales una vez que avance el acuerdo.
