Leatherman beschreibt LockBit als ein kriminelles Geschäftsmodell, das seinen Partnern vor allem Verlässlichkeit verkauft habe. Die Gruppe betrieb ein Netzwerk von fast 200 Affiliates, während der mutmaßliche Kopf Dmitry Yuryevich Khoroshev nach FBI-Angaben 20 Cent von jedem erpressten Dollar erhielt. Für einige Zeit sei LockBit damit „das erfolgreichste kriminelle Unternehmen der Welt“ gewesen, sagte Leatherman gegenüber Dark Reading.
Der Kern von Operation Cronos lag nach seinen Worten darin, genau dieses Geschäftsversprechen zu zerstören. Nachdem die Behörden die technische Infrastruktur übernommen und abgeschaltet hatten, setzten sie auf der Leak-Seite Countdown-Zähler und veröffentlichten die Namen von Affiliates. Die Botschaft sei schlicht gewesen: Die Strafverfolger wüssten, wer sie seien, und würden sie beobachten. Zugleich hätten LockBits eigene Server offengelegt, dass die Gruppe Opferdaten behielt, obwohl sie deren Löschung zugesagt hatte, und dass manche zahlenden Opfer fehlerhafte Entschlüsseler ohne Unterstützung erhielten.
Nach Darstellung des FBI reichte es nicht aus, nur die Fähigkeiten der Gruppe anzugreifen. Entscheidend sei gewesen, LockBits Glaubwürdigkeit so zu beschädigen, dass sie sich davon nicht mehr erholen konnte. Einen Server könne ein kriminelles Netzwerk an einem Tag neu aufbauen, Vertrauen aber sehr viel schwerer, erklärte Leatherman. Auch zweieinhalb Jahre nach Operation Cronos sei LockBit in Wirkung und Glaubwürdigkeit weiterhin deutlich geschwächt.
Paul Foster, stellvertretender Direktor der National Cyber Crime Unit der NCA, hebt den internationalen Schulterschluss als zweiten Schlüsselfaktor hervor. Die Zusammenarbeit aller beteiligten Behörden sei unverzichtbar gewesen, sagte er. Jede Behörde habe eigene Fähigkeiten und Zugänge eingebracht; um daraus eine größere Wirkung zu erzielen, seien enge Kooperation und Abstimmung nötig gewesen. Leatherman bezeichnete derartige Partnerschaften in dieser Form rückblickend als damals tatsächlich ungewöhnlich.
Ganz verschwunden ist LockBit laut dem Bericht zwar nicht. Einige Teile der Infrastruktur oder des Umfelds seien weiterhin aktiv, mehrere wichtige Mitglieder seien jedoch festgenommen worden, andere angeklagt. Khoroshev, ein russischer Staatsangehöriger, ist weiter flüchtig. Das US-Justizministerium hat ihn in mehreren Punkten angeklagt, mit Sanktionen belegt und eine Belohnung von 10 Millionen US-Dollar für Hinweise ausgesetzt, die zu seiner Festnahme führen.
Die Folgen lassen sich laut Foster auch an Zahlen ablesen. Die durchschnittliche Zahl der LockBit-Angriffe im Vereinigten Königreich sei seit der Zerschlagung um 73 Prozent gesunken; in den USA gebe es einen ähnlichen Rückgang. Unter Verweis auf Chainanalysis sagte er zudem, dass die Lösegeldzahlungen an LockBit in den USA in der zweiten Hälfte von 2024 um 79 Prozent gefallen seien.
Aus Sicht der Ermittler liefert der Fall mehrere Lehren für künftige Verfahren. Eine davon: In Ökosystemen der Cyberkriminalität müsse Reputation als operatives Gut betrachtet und entsprechend angegriffen werden. Eine weitere betrifft zentralisierte Infrastrukturen wie bei LockBit. Sie seien für Täter effizient, ließen sich aber ebenso effizient ins Visier nehmen. Seitdem hätten Bedrohungsakteure begonnen, ihre Abläufe stärker zu dezentralisieren, was Ermittler wiederum zu angepassten Taktiken zwinge. Die dritte Erkenntnis lautet laut Leatherman, dass eine Ransomware-Gruppe als Marktplatz verstanden werden müsse: Hinter der Schadsoftware stehe ein kleiner Kern, darum herum aber eine breitere Ökonomie aus Affiliates, Access Brokern und Geldwäschern, auf die sich erfolgreiche Zerschlagungen richten müssten.