Według Cointelegraph, prawie 60,000 adresów Bitcoin związanych z infrastrukturą ransomware LockBit zostało ujawnionych po naruszeniu panelu afiliacyjnego grupy w dark webie. Ten wyciek zawierał zrzut bazy danych MySQL, który został publicznie udostępniony w internecie, zawierający informacje związane z kryptowalutami, które mogą pomóc analitykom blockchain w śledzeniu nielegalnych działań finansowych grupy.
Ransomware, rodzaj złośliwego oprogramowania używanego przez cyberprzestępców, blokuje pliki lub systemy komputerowe, uniemożliwiając do nich dostęp. Napastnicy zazwyczaj żądają płatności okupu, często w aktywach cyfrowych takich jak Bitcoin (BTC), w zamian za klucze deszyfrujące do odblokowania plików. LockBit jest uznawany za jedną z najbardziej notorycznych grup ransomware związanych z kryptowalutami. W lutym 2024 roku przeprowadzono wspólną operację z udziałem dziesięciu krajów, mającą na celu zakłócenie działalności grupy, podając miliardy strat w infrastrukturze krytycznej.
Pomimo wycieku prawie 60,000 portfeli Bitcoin, żadne klucze prywatne nie zostały skompromitowane. Rozmowa udostępniona przez użytkownika X z operatorem LockBit potwierdziła naruszenie, ale personel LockBit zapewnił, że żadne klucze prywatne ani dane nie zostały utracone. Analitycy z Bleeping Computer zauważyli, że baza danych zawierała dwadzieścia tabel, w tym tabelę "builds" z indywidualnymi wersjami ransomware stworzonymi przez partnerów organizacji. Dane zawierały również niektóre docelowe firmy dla tych wersji.
Dodatkowo, wyciekła baza danych zawierała tabelę "chats", która zawierała ponad 4,400 wiadomości negocjacyjnych między ofiarami a organizacją ransomware. Pochodzenie naruszenia pozostaje niejasne, ale analitycy Bleeping Computer zasugerowali możliwe powiązanie z naruszeniem strony ransomware Everest, ponieważ wiadomość użyta w obu incydentach była identyczna.
To naruszenie podkreśla znaczącą rolę kryptowalut w gospodarce ransomware. Ofiary zazwyczaj otrzymują adres do zapłaty okupu, co umożliwia partnerom monitorowanie płatności, jednocześnie starając się ukryć powiązania z ich głównymi portfelami. Ujawnienie tych adresów daje organom ścigania i badaczom blockchain możliwość śledzenia wzorców i potencjalnego powiązania przeszłych płatności okupu z znanymi portfelami.
