LockBit勒索软件团伙遭黑客攻击，6万个比特币地址泄露

勒索软件集团LockBit遭到网络攻击，其内部运营细节暴露。与该集团活动相关的近6万个比特币钱包地址被泄露，此外还有数千条受害者通信记录及其后端基础设施的详细记录。

此次漏洞由网络犯罪研究人员Rey于周三深夜首次发现，发生在2025年4月底。LockBit的暗网附属面板被篡改，替换为一条写着“不要犯罪。犯罪是坏的 xoxo from Prague”的信息，并附有一个名为“paneldb_dump.zip”的MySQL数据库转储文件的链接。 

https://twitter.com/ReyXBF/status/1920220381681418713

“对数据库的基本分析表明，该转储文件创建于4月29日左右，这表明LockBit在4月29日或之前遭到入侵，并于5月7日随后被篡改，”Rey证实道。 

面板转储中的数据泄露

据Rey称，引用网络安全出版物BleepingComputer的分析，泄露的数据库中包含约20个表，其中包括一个“btc_addresses”表，列出了与LockBit勒索软件支付相关的59,975个唯一的比特币钱包地址。

泄露中的其他 notable 数据包括一个“builds”表，详细记录了LockBit附属机构创建的勒索软件有效载荷。该表包括公钥，在某些情况下还包括目标公司的名称。 

“builds_configurations”表显示了附属机构配置攻击以避免或加密的文件或服务器，以及以前勒索软件活动中使用的其他几种操作策略。

正如在一个名为“chats”的表中所示，LockBit附属机构与受害者之间共有超过4,400条谈判消息，时间跨度从2024年12月19日到2025年4月29日。 

pic.twitter.com/gjbtzQg9VM

— Ransom-DB (@Ransom_DB) 5 月 8, 2025

此次泄露还暴露了一个“用户”表，列出了75名LockBit管理员和有权访问该集团后端面板的附属机构。安全研究人员震惊地发现，用户密码以明文形式存储。

网络安全研究人员Michael Gillespie提到了一些泄露的密码，包括“Weekendlover69”、“MovingBricks69420”和“Lockbitproud231”。 

LockBitSupp，LockBit集团的一名已知操作员，在与Rey的Tox聊天中确认此次泄露属实。尽管如此，该操作员坚持认为没有私钥或关键数据丢失。 

https://twitter.com/ReyXBF/status/1920245719434231900

Hudson Rock的首席技术官Alon Gal表示，数据还包括定制的勒索软件构建体和一些解密密钥。据Gal称，如果得到验证，这些密钥可以帮助一些受害者在无需支付赎金的情况下恢复数据。

利用服务器漏洞

对SQL转储的分析显示，受影响的服务器运行的是PHP 8.1.2，该版本存在一个被标识为“CVE-2024-4577”的漏洞。该漏洞允许远程代码执行，这解释了攻击者如何能够渗透并窃取LockBit的后端系统。 

安全专业人士认为，篡改消息的风格可能与最近Everest勒索软件网站的一次入侵有关，该网站使用了相同的“CRIME IS BAD”措辞。这种相似性表明，同一行为者或团体可能参与了这两起事件，尽管尚未确认明确的归因。

幕后黑客尚未现身，但英国安全机构Kevin Beaumont表示，DragonForce团体可能对此负责。 

“有人黑进了LockBit。我猜是DragonForce，”他在Mastodon上写道。

据BBC报道，DragonForce据称参与了针对英国零售商的多起网络攻击，包括玛莎百货（Marks & Spencer）、Co-op和哈罗德百货（Harrods）。

2024年，“克罗诺斯行动”（Operation Cronos）——一项由英国领导、包括联邦调查局（FBI）在内的十个国家执法机构参与的多国行动——暂时阻止了LockBit的活动，尽管该集团最终重新出现。

据报道，该行动摧毁了34台服务器，没收了加密钱包，并发现了超过1,000个解密密钥。 

执法部门认为LockBit的操作者位于俄罗斯，这是一个很难让他们受到法律制裁的司法管辖区。勒索软件团伙将运营中心设在俄罗斯境内，因为直接逮捕几乎不可能。