معاينة الملخص
جيش لازاروس: كيف تسرق كوريا الشمالية المليارات وتمول برامجها الصاروخية
تخيل دولة ما، 25 مليون نسمة، يعيشون في عزلة شبه تامة عن العالم الرقمي. لا إنترنت، لا يوتيوب، لا جوجل. يبدو كسيناريو خيال علمي، صح؟ لكن هذه هي كوريا الشمالية. ومن قلب هذه الدولة المنعزلة، تعمل قوة خارقة في عالم الجريمة السيبرانية: مجموعة لازاروس. هؤلاء ليسوا مجرد قراصنة عاديين، بل هم جيش إلكتروني متكامل، وخلال العقد الماضي، نجحوا في سرقة ما يزيد عن 7 مليارات دولار. هذا المبلغ الضخم، الذي يفوق الناتج المحلي الإجمالي لبعض الدول، يتحول مباشرة إلى وقود لبرامجهم النووية والصاروخية. أنا مستر دارك ويب، وهنا سأكشف لكم كيف يعمل هذا الجيش الخفي، وكيف يمكن أن يكون الآن داخل محفظتك الرقمية.
البداية: اكتشاف عشوائي وعلامة تحذير
قصتي مع لازاروس بدأت بشكل غير متوقع في أواخر عام 2024. كنت أبحث في تسريبات من منتديات الظل المظلمة، أجمع معلومات عن مخططات مالية في جنوب شرق آسيا. روتين عادي، حتى عثرت على ملف نصي صغير، مكتوب بلغة إنجليزية ركيكة، بدون عنوان أو اسم. بداخله قائمة بمحافظ رقمية، تواريخ، ومبالغ تحويلات، ومعها ملاحظة في النهاية: "لا تلمسوا هذه العناوين أبداً. هؤلاء ليسوا أشخاصاً، بل دولة". في البداية، لم أفهم المقصود، اعتقدت أنها مجرد بارانويا أو مزحة. احتفظت بالملف ونسيته. لكن بعد شهرين، في فبراير 2025، حدث أمر هز عالم العملات المشفرة. اختفت 155 مليار دولار من أكبر بورصة عملات مشفرة في العالم بين عشية وضحاها. لا اختراق، لا تصيد احتيالي، لا خطأ من الضحية. وعندما أعلن مكتب التحقيقات الفيدرالي (FBI) عن المسؤولين - مجموعة لازاروس - تذكرت ذلك الملف. قارنت العناوين المنشورة من قبل الـ FBI بتلك الموجودة في الملف، ووجدت تطابقاً في أربعة من أصل واحد وخمسين عنواناً. منذ تلك اللحظة، بدأت رحلة استكشاف أعمق، وكلما تعمقت، زاد الرعب. لازاروس ليست مجرد مجموعة هاكرز عادية. إنها جيش سيبراني لدولة بأكملها، كوريا الشمالية، الدولة الأكثر انعزالاً على وجه الأرض. الدولة التي تنكر وجودهم رسمياً، بينما تبني برنامجها الصاروخي بأكمله على إنجازاتهم. وزارة العدل الأمريكية تصف لازاروس بأنها أداة لتقويض الأمن السيبراني العالمي وتوليد دخل غير مشروع في انتهاك للعقوبات الدولية. خلف هذه الصيغة الرسمية، تكمن حقيقة مخيفة. لازاروس تقف وراء الهجوم على سوني بيكتشرز عام 2014، سرقة البنك المركزي لبنجلاديش عام 2016، فيروس WannaCry الذي شل المستشفيات في 150 دولة عام 2017، وعشرات عمليات سرقة العملات المشفرة التي تجاوزت قيمتها 7 مليارات دولار. أمضيت عدة أشهر في هذا التحقيق، وقلبت مئات الوثائق: لوائح اتهام من وزارة العدل، تقارير FBI، تحليلات من شركات مثل Chainalysis و Elliptic، شهادات من منشقين كوريين شماليين، تقارير خبراء الأمم المتحدة، وحتى منتديات الظل المغلقة. كلما قرأت أكثر، أدركت أن ما يفعله لازاروس فريد من نوعه. لم تبنِ أي دولة في التاريخ اقتصادها على الهجمات السيبرانية، لكن كوريا الشمالية فعلت ذلك. هذه قصة عن إرهاب دولة يتنكر في صورة جريمة سيبرانية. عن بلد حول أفضل علمائه الرياضيات إلى لصوص. عن أفراد يتم اختيارهم في المدارس، تدريبهم كقوات خاصة، وإرسالهم للخارج لسرقة المليارات، دون أن يسمح لهم بالاحتفاظ بسنت واحد. وسأبدأ ليس من البداية، بل من النهاية: أكبر سرقة في تاريخ العملات المشفرة، لأنها توضح تماماً ما أصبحت عليه هذه الآلة ولماذا لا يمكن لأحد إيقافها.
أكبر سرقة في تاريخ العملات المشفرة: اختراق BYBIT
21 فبراير 2025، يوم جمعة. دبي. مقر BYBIT، إحدى أكبر بورصات العملات المشفرة في العالم. يوم عمل عادي. عملية روتينية: نقل أموال من محفظة باردة إلى محفظة ساخنة. إجراء اعتاد عليه الموظفون مراراً. ثلاث توقيعات من عدة تأكيدات. كل شيء وفقاً للبروتوكول. على الشاشة، واجهة Safe Wallet القياسية، منصة التوقيعات المتعددة التي تستخدمها آلاف الشركات حول العالم. المبلغ، عنوان المستلم، زر التأكيد. نظر المدير التنفيذي بن تشو إلى الشاشة. كل شيء بدا مثالياً. ضغط على "تأكيد". قام موظفان آخران بنفس الشيء. بعد 40 دقيقة، اختفت 401,347 وحدة من عملة الإيثيريوم، ما يقارب مليار ونصف المليار دولار. لم تذهب إلى العنوان الخطأ، ولا المحفظة الخطأ، ولا البلد الخطأ. من المهم أن نفهم: لم يرتكب أحد خطأ. النظام لم يتعطل. لم تُسرق كلمات المرور. لم ينقر الموظفون على رابط تصيد احتيالي. لقد فعلوا بالضبط ما كان يجب عليهم فعله. وهذا بالضبط ما كان ينتظره أولئك الذين كانوا على الجانب الآخر من الشاشة. ماذا حدث بالفعل؟ قبل أيام قليلة من الهجوم، تم اختراق جهاز كمبيوتر لأحد مطوري Safe Wallet - ليس BYBIT، بل المنصة نفسها التي كانت تمر عبرها عملية التأكيد. لم يخترقوا الدفاعات بالقوة، ولم يحاولوا تخمين كلمات المرور، ولم يبحثوا عن ثغرات في الكود. لقد تسللوا عبر الإنسان. هندسة اجتماعية: مكالمة، رسالة بريد إلكتروني، دعوة لمؤتمر، أو مقابلة وهمية. الطريقة الدقيقة لا تزال سرية، لكن وفقاً لـ Safe Ecosystem Foundation، حدث الاختراق عبر محطة عمل المطور. بعد الوصول إلى جهازه، سرق الهاكرز رموز الجلسة - مفاتيح مؤقتة تسمح بالدخول إلى الخدمة السحابية للشركة دون الحاجة لإعادة إدخال كلمة المرور. وبهذه الطريقة، تجاوزوا المصادقة الثنائية. لقد حسبوا التوقيت، وعملوا في نفس ساعات عمل المطور لتجنب إثارة الشكوك لدى أنظمة المراقبة. ثم، في 19 فبراير، قبل يومين من الهجوم، استبدلوا ملفاً واحداً فقط - جزءاً من كود JavaScript المسؤول عن عرض المعاملات. هذا الملف وصل إلى الخادم عبر النطاق الرسمي لـ Safe Wallet. كان يعمل بشكل مثالي لجميع المستخدمين، باستثناء واحد. باستثناء BYBIT. هل يعقل أن مليار ونصف المليار دولار تم اختراقها دون أن يلاحظ أحد في لحظة التحويل؟ يبدو كسيناريو ضعيف، لكن هذه هي الطريقة التي تعمل بها الأمور. عندما تعتاد على الضغط على "تأكيد" كل يوم، وكل شيء يسير على ما يرام دائماً، لا تعيد التحقق من كل بكسل على الشاشة. هذا ليس إهمالاً، بل ثقة في النظام الذي تستخدمه آلاف الشركات. ولازاروس لم يخترق النظام، بل اخترق هذه الثقة. الكود المستبدل كان يظهر للموظفين في BYBIT شيئاً، بينما كان يرسل شيئاً آخر تماماً. توقيعاتهم على محافظ الأجهزة تحولت إلى ما أسماه خبراء الأمن لاحقاً "توقيع أعمى". لقد وافقوا على معاملة لم يروها. بعد 10 ساعات من الاختراق، قدم 350,000 مستخدم لـ BYBIT طلبات سحب. ذعر. البورصة اهتزت. سعر الإيثيريوم انخفض. السوق تجمد، والأموال المسروقة كانت تتحرك بالفعل. الآلة، المصقولة بالسنوات. في أول 48 ساعة، تم تمرير أكثر من 160 مليون دولار عبر عشرات المحافظ الوسيطة، وتحويلها إلى عملات مشفرة أخرى، وتم تمريرها عبر بورصات لا مركزية وجسور عبر سلاسل الكتل. كل خطوة آلية، كل محفظة تستخدم لمرة واحدة. بحلول 23 فبراير، تم تشتيت أكثر من 200 مليون. بحلول 26 فبراير، بعد 5 أيام، ذهبت 400 مليون إلى الظل. وبحلول 20 مارس، وفقاً لبن تشو نفسه، تم تحويل 86% مما تمت سرقته إلى بيتكوين وتوزيعه على آلاف العناوين. الأموال تبخرت أسرع من قدرة
تمويل برنامج الصواريخ: أموال من الفضاء السيبراني
وفقاً لتقديرات فريق خبراء الأمم المتحدة الذي تم حله في عام 2024، فإن ما يصل إلى 40% من تمويل البرامج النووية والصاروخية لكوريا الشمالية يأتي من سرقات الإنترنت. 40% - ليس من تجارة الفحم، ولا بيع الأسلحة، ولا مساعدات الحلفاء، بل من العملات المشفرة المسروقة. هذه ليست فرضية صحفية، بل استنتاج لجنة دولية عملت تحت تفويض مجلس الأمن. المليار ونصف المليار المسروقة من BYBIT ليست جريمة من أجل الربح. إنها بند في ميزانية دولة غير موجودة رسمياً. في عام 2025 وحده، وفقاً لمنصة التحليلات Chainalysis، سرق قراصنة مرتبطون بكوريا الشمالية أكثر من 2 مليار دولار، بزيادة 51% عن العام السابق. إجمالاً من عام 2019 حتى نهاية عام 2025 - 6.75 مليار دولار. هذا يمثل 76% من جميع سرقات العملات المشفرة في العالم. ثلاثة أرباعها - دولة واحدة، مشغل واحد. شركة Elliptic، التي حققت في الاختراق، صاغت الأمر كالتالي: "مجموعة لازاروس ليست مجموعة مدعومة من الدولة بالمعنى التقليدي. لازاروس هي كوريا الشمالية، وكوريا الشمالية هي لازاروس. لا يوجد حد فاصل بين القراصنة والنظام، لا فجوة. إنها كائن حي واحد". وهنا تبدأ الجزء الأكثر ظلمة في هذه القصة. لأنه لفهم كيف تعلمت مجموعة من أفقر وأكثر دول العالم انعزالاً سرقة المليارات، يجب أن نعود 20 عاماً إلى الوراء، إلى مكان لا يعرفه تقريباً أحد. إلى حيث يتم اختيار الأطفال في المدارس. ليس لإنجازاتهم الرياضية، ولا لموهبتهم الموسيقية، بل لقدرتهم على حل المسائل الرياضية أسرع من أي شخص آخر. وحيث يتم تحويل هؤلاء الأطفال إلى جنود لن يحملوا السلاح أبداً، لكنهم سيحدثون ضرراً أكبر من أي جيش.
ولادة الجيش السيبراني: من كيم إيل سونغ إلى المكتب 121
في عام 1996، زار كيم جونغ إيل، الزعيم الفعلي لكوريا الشمالية آنذاك، الخطوط الأمامية العسكرية. ووفقاً لشهادات محفوظة في تقارير استخباراتية من كوريا الجنوبية، قال عبارة حددت الثلاثين عاماً التالية لتاريخ بلاده: "كل حروب المستقبل ستكون حروب كمبيوتر". عام 1996. الإنترنت لم يكن قد بدأ بالانتشار بعد. معظم سكان الكوكب لم يعرفوا ما هو البريد الإلكتروني، بينما كان الرجل الذي يحكم واحدة من أفقر دول العالم قد أدرك أن لوحة المفاتيح أخطر من دبابة. لاحقاً، في العقد الأول من القرن الحادي والعشرين، عبّر عن الأمر بحدة أكبر. وفقاً لباحثين من منظمة C4ADS، الذين يستشهدون بمواد استخباراتية من كوريا الجنوبية، صرح كيم جونغ إيل بأن الهجمات السيبرانية تشبه القنابل الذرية. "الحرب يفوز بها من يحصل في زمن السلم على أكبر قدر من الوصول إلى المعلومات الفنية العسكرية للعدو". لم يكن يمزح، بل كان يبني جيشاً. في عام 1998، تم إنشاء المكتب 121 - وحدة حرب سيبرانية داخل مديرية الاستخبارات الرئيسية (GRU). هذه ليست مجرد قسم لتكنولوجيا المعلومات. إنها هيكل عسكري كامل، يخضع للسلطة الفنية الثالثة للمراقبة - الهيئة الرئيسية المسؤولة عن جميع العمليات السيبرانية لكوريا الشمالية. وفقاً للتقديرات المبكرة، كان يعمل في المكتب 121 حوالي 1800 متخصص. بحلول عام 2014، زاد وكالة NIS الكورية الجنوبية هذا الرقم إلى 5900. الآن، وفقاً لصحيفة وول ستريت جورنال، نتحدث عن 8000 هاكرز موظفين، منظمين في وحدات عسكرية. لكن من أين يأتي الهاكرز في بلد بلا إنترنت؟ الإجابة بسيطة ومخيفة في آن واحد. إنهم يُربّون منذ الطفولة. في جميع أنحاء كوريا الشمالية، يعمل نظام اختيار، تم بناؤه منذ التسعينيات. في المدارس المتوسطة والعليا للموهوبين، توجد أجهزة كمبيوتر. وفقاً لشهادات المنشقين، حتى وقت قريب، كانت هذه أجهزة بمستوى Pentium 4. يتتبع المعلمون الأطفال ذوي القدرات الرياضية الاستثنائية. أفضلهم يُرسلون إلى جامعات متخصصة. أهمها هو كلية ميريم، المعروفة أيضاً بجامعة بيونغ يانغ للأتمتة. كل عام، تتخرج منها حوالي 100 هاكرز. تشانغ سيول، المنشق الذي درس في ميريم ثم فر إلى كوريا الجنوبية، وصف كيف كانت العملية التعليمية: ست حصص، كل منها 90 دقيقة يومياً. لغات البرمجة من C إلى لغة التجميع، أنظمة التشغيل Linux و Windows. الكثير من الوقت كان يُخصص لتحليل بنية Microsoft Windows: كيف تعمل، أين الثغرات، وكيف يمكن اختراقها. خمس سنوات من التدريب، بدون عطلات نهاية أسبوع بالمعنى المعتاد، بدون إنترنت حر، فقط الدراسة والتطبيق. بجانب ميريم، تعمل جامعة كيم إيل سونغ، الجامعة التكنولوجية كيم تشيك، والجامعة التكنولوجية مو ران بوونغ. إلى هناك يُرسل الأكثر موهبة. كيم هينغ وان، أستاذ سابق في علوم الكمبيوتر، قام بتدريس 15 عاماً في جامعات هام هونغ، وأعدّ مقاتلي سيبرانيين مستقبليين، بعد هروبه إلى كوريا الجنوبية، قال إن أفضل طلابه كانوا يذهبون في تدريب إلى الصين، خاصة إلى مدينة شينيانغ، حيث كانت تعمل شركة واجهة تسمى Chosen Expo Joint Venture. كانت هذه الشركة ستاراً، استخدمه العملاء لإجراء عمليات سيبرانية. ومن هذه الشركة تحديداً، تمكن FBI لاحقاً من استخراج اسم باك جين هيوك، أول هاكر من لازاروس تم توجيه اتهام له. لكن ما أدهشني حقاً أثناء جمع هذه المعلومات. هؤلاء الأشخاص ليسوا متطوعين، ولا متحمسين قرروا أن يصبحوا هاكرز من أجل المال أو الشهرة. إنهم ملك للدولة. يتم اختيارهم في الطفولة. تحصل عائلاتهم على امتيازات: سكن في بيونغ يانغ (وهذا قيمة هائلة في كوريا الشمالية)،
هجوم على سوني بيكتشرز: انتقام بسبب كوميديا
صباح 24 نوفمبر 2014، حفر في ذاكرة موظفي سوني بيكتشرز إنترتينمنت إلى الأبد. جاء الناس إلى العمل واكتشفوا أن أجهزة الكمبيوتر الخاصة بهم ميتة. على الشاشات - صورة لهيكل عظمي أحمر وعبارة من مجموعة أطلقت على نفسها اسم "حراس السلام" (Guardians of Peace). كانت العبارة بسيطة: "أخذنا كل شيء. إذا لم تنفذوا مطالبنا، سننشرها". لم يكن هذا مبالغة. كان القراصنة موجودين داخل شبكة سوني لمدة شهرين على الأقل، ووفقاً لبعض التقارير، لمدة عام. خلال هذه الفترة، قاموا بنسخ أكثر من 100 تيرابايت من البيانات: رسائل داخلية للإدارة، وثائق مالية، بيانات شخصية للموظفين (أرقام الضمان الاجتماعي، السجلات الطبية، الرواتب)، أفلام لم تُعرض بعد، سيناريوهات لمشاريع مستقبلية. ثم قاموا بتفعيل برنامج ضار قام بتدمير حوالي 70% من البنية التحتية للخوادم للشركة. تم إعادة كتابة الأقراص الصلبة، ومسح سجلات الإقلاع، وتحولت أجهزة الكمبيوتر إلى "طوب". السبب: كوميديا. فيلم "المقابلة" مع سيث روغن وجيمس فرانكو. سخرية يجنّد فيها عملاء المخابرات الأمريكية صحفيين اثنين لقتل كيم جونغ أون. فيلم ربما لم يتذكره أحد بعد ستة أشهر، لو لم يكن لازاروس خلفه. طالب "حراس السلام" سوني بإلغاء العرض الأول، ثم بدأوا بتهديدات بشن هجمات إرهابية في دور السينما التي ستعرض الفيلم. رفضت أكبر شبكات السينما الأمريكية عرضه. ألغت سوني العرض الأول في البداية، ثم، تحت ضغط الجمهور، أصدرت الفيلم في النهاية في عرض محدود وعبر الإنترنت. في 19 ديسمبر 2014، أعلن FBI رسمياً: "كوريا الشمالية تقف وراء الهجوم". ألقى الرئيس أوباما خطاباً عاماً، واصفاً الاختراق بأنه "ليس عملاً حربياً، ولكنه ضربة خطيرة للأمن القومي". فرضت الولايات المتحدة عقوبات إضافية. وأنا، عندما كنت أدرس هذه القضية، كنت أفكر في هذا: دولة هاجمت شركة خاصة بسبب كوميديا. ليس بسبب معلومات استخباراتية، ولا أسرار عسكرية، بل بسبب مزحة. وتسببت في أضرار قدرت سوني بـ 15 مليون دولار فقط في الربع الأول، ناهيك عن الأضرار السمعية والشكاوى القانونية من الموظفين الذين تم تسريب بياناتهم. لكن الأكثر دلالة هو أن لازاروس استخدم هذا الاختراق كتدريب: اختبر الأساليب، تحقق من البنية التحتية، درس رد الفعل. لأن الهدف التالي كان من عيار مختلف تماماً. ليس شركة ترفيهية، بل بنك مركزي.