Drie bitcoinwallets die waren opgezet om betalingen van WannaCry-slachtoffers in ontvangst te nemen, zijn sinds donderdagochtend volledig leeg. Er vonden kort achter elkaar verschillende verplaatsingen naar andere wallets plaats.
De drie wallets bevatten in totaal ongeveer 51,8 bitcoin, wat momenteel neerkomt op bijna 120.000 euro. In de meeste gevallen waren er twee opnametransacties om de bitcoins te verplaatsen naar andere wallets. Van daar uit hebben inmiddels ook weer verschillende betalingen naar andere adressen plaatsgevonden. Het is het eerste teken van leven van de personen achter de WannaCry-ransomware, of in ieder geval de personen die toegang hebben tot de bitcoinwallets.
Bij de WannaCry-besmettingen werd slachtoffers gevraagd om een bedrag van 300 dollar in bitcoin te betalen, wat na verloop van tijd verdubbelde naar 600 dollar. De eerste infecties vonden plaats in mei en sindsdien waren er nog af en toe betalingen, bijvoorbeeld nog op 24 juli. Uit de tracker van onderzoeker MalwareTech, die de versleuteling van veel systemen voorkwam door een 'killswitch' te ontdekken, blijkt dat er af en toe nog steeds nieuwe WannaCry-infecties plaatsvinden.
Het is nog steeds onduidelijk wie verantwoordelijk is voor de verspreiding van de WannaCry-ransomware, die veel systemen trof door gebruik te maken van een exploit voor een SMB-kwetsbaarheid. Verschillende beveiligingsbedrijven vonden links met de zogenaamde Lazarus-groep, die op zijn beurt weer in verbinding zou staan met Noord-Korea. In het geval van de NotPetya-malware, die volgde op WannaCry, werden eveneens de bijbehorende bitcoinwallets geleegd. In dat geval ging het gepaard met een mededeling van de personen achter de malware.