O comando last utilizado para listar usuários logados no sistema é gerenciado pelos logs enviados ao arquivo /var/log/wtmp. Este arquivo por usa vez é versionado pelo sistema pelo gerenciador de logs logrotate. Sendo assim é possível que seu sistema tenha versionado o arquivo WTMP e com isto geralmente ele zera o log de acesso do sistema em versões como /var/log/wtmp.1 /var/log/wtmp.2 /var/log/wtmp.3 /var/log/wtmp.xxxx e dai por diante Para recuperar estes arquivos você poderá utilizar o comando last assim como especificado na linha abaixo:

last -R -f /var/loca/wtmp.1

Isto irá mostrar a saída deste comando assim como a saída padrão do comando last