- LockBit 랜섬웨어 조직이 대규모 침해 사고를 당해 60,000개의 비트코인 지갑 주소와 내부 데이터가 유출되었습니다.
- 해커들이 LockBit의 다크 웹 패널을 변조하여 피해자 채팅, 가맹점 빌드 및 평문 비밀번호를 노출했습니다.
- 이번 침해 사건은 DragonForce와 연관될 가능성이 있으며, 보안 분석가는 PHP 취약점 CVE-2024-4577을 공격 벡터로 지적했습니다.
랜섬웨어 그룹 LockBit가 사이버 공격을 받아 내부 운영 사항이 노출되었습니다. 해당 그룹 활동과 관련된 거의 60,000개의 비트코인 지갑 주소가 유출되었으며, 수천 건의 피해자 통신 내용과 백엔드 인프라의 상세 기록도 함께 공개되었습니다.
이 침해 사고는 사이버 범죄 연구가인 레이가 수요일 늦게 처음 발견했으며, 2025 년 4 월 말에 발생했습니다. LockBit 의 다크 웹 제휴 패널이 변조되어 '범죄를 저지르지 마세요. 범죄는 나빠요. 프라하에서 보내는 포옹 xoxo'라는 메시지와 함께 'paneldb_dump.zip'이라는 이름의 MySQL 데이터베이스 덤프 링크로 대체되었습니다.
https://twitter.com/ReyXBF/status/1920220381681418713
레이는 '데이터베이스에 대한 기본 분석 결과 덤프가 4 월 29 경 생성된 것으로 나타났으며, 이는 LockBit 이 그 날짜 또는 그 이전에 유출되었고 이후 5 월 7 일에 변조되었음을 시사합니다'라고 확인했습니다.
패널 덤프 내 데이터 노출
레이는 보안 전문 매체 BleepingComputer 의 분석을 인용해 유출된 데이터베이스에는 약 20 개의 테이블이 포함되었으며, 그중 'btc_addresses' 테이블에는 LockBit 의 랜섬웨어 결제와 연결된 59,975 개의 고유 비트코인 지갑 주소가 기록되어 있다고 밝혔습니다.
유출된 데이터의 또 다른 주목할 만한 부분은 LockBit 제휴사가 만든 랜섬웨어 페이로드를 상세히 설명하는 'builds' 테이블입니다. 이 테이블에는 공개 암호화 키와 일부 경우 표적 기업의 이름이 포함되어 있습니다.
'builds_configurations' 테이블은 애피에이티츠가 공격을 회피하거나 암호화하기 위해 구성한 파일이나 서버, 그리고 이전 랜섬웨어 캠페인에서 사용된 기타 운영 전술들을 보여주었습니다.
‘chats’라는 이름의 한 표에서 확인된 바와 같이 LockBit 애피에이티츠와 피해자 간에는 2024 년 12 월 19 일부터 2025 년 4 월 29 일까지 총 4,400 건 이상의 협상 메시지가 오갔습니다.
— Ransom-DB (@Ransom_DB) 5월 8, 2025
이 덤프는 또한 그룹의 백엔드 패널에 접근할 수 있는 75명의 LockBit 관리자 및 가맹점을 나열하는 'users' 테이블을 노출합니다. 보안 전문가들은 사용자 비밀번호가 평문으로 저장되어 있다는 사실을 발견하고 충격을 받았습니다.
사이버보안 연구원 마이클 길레스피는 노출된 일부 비밀번호를 언급했는데, 여기에는 “Weekendlover69”, “MovingBricks69420”, “Lockbitproud231” 등이 포함됩니다.
LockBit 그룹의 알려진 운영자인 LockBitSupp 는 Rey 와의 Tox 채팅을 통해 이번 유출이 사실임을 확인했습니다. 다만 해당 운영자는 개인 키나 중요한 데이터가 유실되지는 않았다고 강조했습니다.
https://twitter.com/ReyXBF/status/1920245719434231900
Hudson Rock 의 최고기술책임자 (CTO) 알론 갈은 해당 데이터에는 커스텀 랜섬웨어 빌드 및 일부 복호화 키도 포함되어 있다고 밝혔습니다. 갈에 따르면 검증된다면 이 키들을 통해 일부 피해자가 몸값을 지불하지 않고도 데이터를 복구할 수 있을 것입니다.
서버 취약점 악용
SQL 덤프 분석 결과, 영향받은 서버가 CVE-2024-4577로 식별된 취약점이 있는 PHP 8.1.2 버전을 실행 중이었습니다. 이 취약점은 원격 코드 실행을 허용하여 공격자가 LockBit의 백엔드 시스템에 침투하고 데이터를 유출할 수 있었던 원인을 설명합니다.
보안 전문가들은 웹사이트 변조 메시지의 스타일이 최근 같은 'CRIME IS BAD' 문구를 사용한 Everest 랜섬웨어 사이트 침해 사건과 연관될 가능성이 있다고 보고 있습니다. 이러한 유사성은 두 사건 모두 동일한 행위자나 그룹이 개입했을 가능성을 시사하지만, 아직 명확한 책임 소재는 확인되지 않았습니다.
침해를 감행한 해커들은 스스로를 드러내지 않았지만, 영국 기반 보안 기관인 Kevin Beaumont은 DragonForce 그룹이 관련되었을 수 있다고 밝혔습니다.
“누군가가 LockBit를 해킹했습니다. 드래곤포스라고 추측합니다.”라고 그는 마스톤에 썼다.
BBC에 따르면, 드래곤포스는 마크스 앤 스펜서, 쿠프, 하로즈를 포함한 영국 소매업체들에 대한 여러 사이버 공격에 연루된 것으로 알려졌다.
2024년 크로노스 작전은 연방수사국 (FBI) 을 포함한 10개국의 법집행 기관이 참여했던 영국 주도의 다국적 노력으로, LockBit의 활동을 일시적으로 중단시켰으나 해당 그룹은 결국 부활했습니다.
이 작전으로 34대의 서버가 다운되고 암호화 지갑이 압수되었으며, 1,000개 이상의 복호화 키가 발견된 것으로 보고된다.
법 집행 기관은 LockBit 운영자가 러시아에 기반을 두고 있다고 믿고 있으며, 이는 그들을 법정에 세우기 어려운 관할권입니다. 랜섬웨어 조직은 직접적인 체포가 거의 불가능하기 때문에 러시아 국경 내에서 작전을 중심으로 전개합니다.
암호화폐 뉴스를 단순히 읽는 것을 넘어, 이해하세요. 뉴스레터에 구독하세요. 무료입니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
플로렌스 무차이
플로렌스는 지난 6년 동안 암호화폐, 게임, 기술 및 AI 뉴스를 다루어 왔습니다. 메루 과학기술대학교에서 컴퓨터학을, MMUST에서 재난 관리 및 국제 외교를 전공하며 언어, 관찰력 및 기술적 역량을 충분히 갖추었습니다. 플로렌스는 VAP 그룹에서 근무했으며 여러 암호화폐 미디어 하우스의 편집자로 활동했습니다.
