Náhled shrnutí
Lazarus: Severokorejská armáda, co krade miliardy
Čau, lidi! Dneska se ponoříme do něčeho fakt temnýho, co se děje v kyberprostoru. Představte si zemi, kde většina lidí nemá ani páru o tom, co je to internet. Zní to jako sci-fi, co? Ale tahle země má zhruba 8 tisíc hackerů, který možná ani neznají YouTube nebo Google, ale za posledních deset let ukradli přes 7 miliard dolarů. Jo, slyšíte dobře, miliardy! A tyhle peníze? Ty neskončí na jachtách nebo ve zlatých cihlách. Ty se přeměňujou na rakety. Dneska si povíme o skupině Lazarus – o armádě hackerů, která možná právě teď sahá do vaší peněženky.
Úvod: Kdo je ten tajemný Lazarus?
Začalo to pro mě docela náhodou na konci roku 2024. Prohrabával jsem se daty z jednoho deep web fóra, hledal nějaký finanční švindly v Asii. Nic neobvyklýho, prostě rutina. Ale mezi hromadou souborů jsem našel jeden malej texták. Angličtina kostrbatá, bez nadpisu, bez podpisu. Byl to seznam adres, dat, částek a na konci poznámka: „Nikdy se nedotýkejte těchhle adres. To nejsou lidi, to je stát.“ Nejdřív jsem si myslel, že je to nějakej paranoidní vtip. Uložil jsem to a zapomněl. Jenže o dva měsíce později, v únoru 2025, se stalo něco, co z toho vtipu udělalo noční můru. Z jedný z největších krypto burz světa zmizelo přes noc 155 miliard dolarů. Žádnej hack, žádnej phishing, prostě nic. A když FBI vyrukovala s viníkem – Lazarus Group – vzpomněl jsem si na ten soubor. A světe div se, čtyři z padesáti adres, co FBI zveřejnila, tam byly taky. Od tý doby jsem se do toho zakousnul. A čím víc jsem kopal, tím děsivější to bylo. Lazarus není jen banda hackerů v kapucích. Tohle je kybernetická armáda celýho státu – Severní Koreje. Země, která internet v podstatě zakázala pro drtivou většinu svých obyvatel, ale zároveň na těchhle „digitálních zlodějích“ staví celou svou raketovou politiku. Americký ministerstvo spravedlnosti to nazývá „nástrojem podvracení globální kyberbezpečnosti a generování nelegálního příjmu v rozporu s mezinárodními sankcemi“. Za tou suchou formulací se ale skrývá realita, ze který mrazí. Lazarus Group má na svědomí útok na Sony Pictures v roce 2014, okradení centrální banky Bangladéše v roce 2016, virus WannaCry, co paralyzoval nemocnice po celém světě, a desítky dalších krypto krádeží za víc než 7 miliard dolarů. Strávil jsem na tomhle pátrání měsíce. Pročetl jsem tuny dokumentů: obvinění, zprávy FBI, analýzy blockchainových společností, svědectví přeběhlíků ze Severní Koreje, zprávy OSN i diskuze na temných fórech. A co jsem zjistil? Nic podobnýho v historii nebylo. Žádná jiná země na světě nikdy nepostavila ekonomiku na hackerských útocích. Až Severní Korea. Tohle je příběh o státním terorismu převlečeným za kyberzločin. O zemi, která ze svých nejlepších matematiků udělala zloděje. O lidech, který si vyberou ve škole, trénujou jako speciální jednotky, posílaj do zahraničí a oni kradou miliardy, aniž by si směli nechat jedinou korunu. A začneme ne od začátku, ale od konce – od největší loupeže v historii kryptoměn. Protože právě ta ukazuje, co se z téhle mašinérie stalo a proč ji nikdo nedokáže zastavit.
Největší loupež v historii kryptoměn: Vloupání do BYBIT
Dvacet jedna. únor 2025. Pátek. Dubaj. Kanceláře BYBIT, jedné z největších krypto burz světa. Běžný pracovní den. Rutinní operace: přesun peněz z chladné peněženky do horké. Něco, co jejich lidi dělali už stokrát. Tři podpisy z několika potvrzení. Všechno podle protokolu. Na obrazovce standardní rozhraní Safe Wallet, platformy pro vícenásobné podpisy, kterou používají tisíce firem. Částka, adresa příjemce, tlačítko pro potvrzení. CEO Ben Zhou se podíval na obrazovku. Všechno vypadalo dokonale. Kliknul na „Potvrdit“. Ještě dva zaměstnanci udělali to samé. O 40 minut později 401 347 Ethereum, skoro miliarda a půl dolarů, zmizelo. Ne na správnou adresu, ne do správné peněženky, ne do správné země. Je důležitý pochopit jednu věc: Nikdo neudělal chybu. Systém neselhal. Hesla nebyla ukradená. Zaměstnanci neklikli na žádný phishingový odkaz. Udělali přesně to, co měli. A přesně na to spoléhali ti, co byli na druhý straně obrazovky. Co se stalo doopravdy? Několik dní před útokem hackeři kompromitovali počítač jednoho z vývojářů Safe Wallet – ne BYBIT, ale samotné platformy, přes kterou šlo potvrzení. Nehackovali obranu přímo, nezkoušeli hesla, nehledali chyby v kódu. Pronikli přes člověka. Sociální inženýrství: telefonát, email, pozvánka na konferenci nebo falešný pohovor. Přesná metoda je dodnes tajná, ale podle Safe Ecosystem Foundation k prolomení došlo přes pracovní stanici vývojáře. Jakmile získali přístup k jeho stroji, ukradli session tokeny – dočasné klíče, které umožňují přihlásit se do cloudové služby firmy bez nutnosti znovu zadávat heslo. Tím obešli dvoufaktorovou autentizaci. Spočítali si čas, pracovali ve stejnou dobu jako vývojář, aby nevzbudili podezření u monitorovacích systémů. A pak, 19. února, dva dny před útokem, vyměnili jeden jediný soubor – kus JavaScript kódu, který odpovídá za zobrazení transakcí. Tento soubor se dostal na server přes oficiální doménu Safe Wallet. Fungoval perfektně pro všechny uživatele, kromě jednoho. Kromě BYBIT. Vypadá to jako špatný scénář, že by si nikdo nevšiml půl miliardy dolarů v momentě převodu? Ale přesně takhle to funguje. Když jste zvyklí každý den klikat na „Potvrdit“ a všechno vždycky proběhne bez problémů, nepřekontrolujete každý pixel na obrazovce. Není to nedbalost, je to důvěra v systém, který používají tisíce firem. A Lazarus nehacknul systém, hacknul tuhle důvěru. Vyměněný kód ukazoval zaměstnancům BYBIT jedno, ale posílal úplně něco jinýho. Jejich podpisy na hardwarových peněženkách se proměnily v to, co bezpečnostní experti později nazvali „slepou“ podpis. Potvrzovali transakci, kterou neviděli. Deset hodin po vloupání 350 000 uživatelů BYBIT podalo žádosti o výběr. Panika. Burza se otřásla. Cena Etherea klesla. Trh zamrzl a ukradené peníze už se hýbaly. Konveyor, vybroušený léty. Během prvních 48 hodin se přes desítky prostřednických peněženek prohnalo přes 160 milionů dolarů, převedlo se do jiných kryptoměn, prošlo decentralizovanými burzami a cross-chain mosty. Každý krok
Financování raketové programové: Peníze z kyberprostoru
Podle odhadů rozpuštěné v roce 2024 skupiny expertů OSN, až 40 % financování jaderného a raketového programu Severní Koreje pochází z kyberkrádeží. 40 % – ne z prodeje uhlí, ne z prodeje zbraní, ne z pomoci spojenců, ale z ukradené kryptoměny. To není novinářská hypotéza. To je závěr mezinárodní komise, která pracovala pod mandátem Rady bezpečnosti. Ukradená miliarda a půl z BYBIT není zločin pro zisk. Je to položka ve státním rozpočtu, který oficiálně neexistuje. Jen v roce 2025, podle analytické platformy Chainalysis, hackeři spojení s KLDR ukradli přes 2 miliardy dolarů, což je o 51 % více než rok předtím. Celkem od roku 2019 do konce roku 2025 – 6.75 miliard. To je 76 % všech kryptoměnových krádeží na světě. Tři čtvrtiny – jedna země, jeden operátor. Analytická společnost Elliptic, která vyšetřovala vloupání, to formulovala takto: „Lazarus Group není státem sponzorovaná skupina v běžném smyslu. Lazarus je Severní Korea a Severní Korea je Lazarus. Neexistuje hranice mezi hackery a režimem, žádná mezera. Je to jeden organismus.“ A tady začíná ta nejtemnější část tohohle příběhu. Protože abychom pochopili, jak se skupina z jedné z nejchudších a nejizolovanějších zemí světa naučila krást miliardy, musíme se vrátit o 20 let zpátky, na místo, o kterém skoro nikdo neví. Tam, kde se děti vybírají ve škole. Ne za sportovní úspěchy, ne za talent k hudbě, ale za schopnost řešit matematické úlohy rychleji než ostatní. A kde se z těchto dětí dělají vojáci, kteří nikdy nevezmou do ruky zbraň, ale způsobí víc škody než jakákoli armáda.
Zrod kyberarmády: Od Kim Ir Sena k Úřadu 121
V roce 1996 Kim Čong Il, tehdejší vůdce Severní Koreje, navštívil vojáky na frontové linii. Podle svědectví zachovaných v jihokorejských zpravodajských zprávách pronesl větu, která určila následujících 30 let historie jeho země: „Všechny války budoucnosti budou počítačové války.“ Rok 1996. Internet ještě pořádně neexistoval. Většina lidí na planetě nevěděla, co je to elektronická pošta, a člověk, který řídil jednu z nejchudších zemí světa, už pochopil, že klávesnice je nebezpečnější než tank. Později, už ve dvacátých letech, se vyjádřil ještě ostřeji. Podle výzkumníků z organizace C4ADS, kteří se odvolávají na jihokorejské zpravodajské materiály, Kim Čong Il prohlásil, že kybernetické útoky jsou jako atomové bomby. „Válka se vyhrává tím, kdo v mírové době získá větší přístup k vojensko-technickým informacím nepřítele.“ Nežertoval, stavěl armádu. V roce 1998 byl vytvořen Úřad 121 – kybernetické bojové oddělení v rámci Hlavního zpravodajského ředitelství (GRU). Nejde o analogii nějakého IT oddělení. Je to plnohodnotná vojenská struktura podřízená Třetímu technickému pozorovatelskému úřadu – hlavnímu orgánu zodpovědnému za všechny kybernetické operace KLDR. Podle prvních odhadů pracovalo v Úřadu 121 kolem 1800 specialistů. Do roku 2014 jihokorejská agentura NIS zvýšila tento počet na 5900. Nyní, podle Wall Street Journal, jde o 8000 stálých hackerů organizovaných do vojenských jednotek. Ale odkud se v zemi bez internetu berou hackeři? Odpověď je jednoduchá a zároveň děsivá. Pěstují je od dětství. Po celé Severní Koreji funguje systém výběru, vybudovaný už v devadesátých letech. Na středních a vyšších školách pro nadané jsou nainstalovány počítače. Podle výpovědí přeběhlíků to ještě nedávno byly stroje úrovně Pentium 4. Učitelé sledují děti s vynikajícími matematickými schopnostmi. Nejlepší jsou posíláni na specializované vysoké školy. Hlavní z nich je Mirim College, známá také jako Pchjongjangská univerzita automatizace. Každý rok vyšle asi 100 hackerů. Čang Se-jul, přeběhlík, který studoval na Mirimu a později utekl do Jižní Koreje, popsal, jak vypadal studijní proces: šest přednášek po 90 minutách denně. Programovací jazyky od C po assembler, operační systémy Linux a Windows. Obrovské množství času šlo na rozbor architektury Microsoft Windows: jak je postavená, kde jsou zranitelnosti, jak se do ní dostat. Pět let přípravy, bez víkendů v běžném smyslu, bez volného internetu, jen studium a praxe. Vedle Mirimu fungují Kim Ir Senova univerzita, Technologická univerzita Kim Čcheka a Moranbonská univerzita. Tam posílají ty nejnadanější. Kim Hyn-gwan, bývalý profesor informatiky, který 19 let vyučoval na univerzitách v Hamhungu a připravoval budoucí kyberválečníky, po svém útěku do Jižní Koreje řekl, že jeho nejlepší studenti odjížděli na stáže do Číny, konkrétně do města Šen-jang, kde fungovala zástěrka pod názvem Chosen Expo Joint Venture. Krytí, přes které operativci prováděli kybernetické operace. Právě z této společnosti později FBI získala jméno
Útok na Sony Pictures: Pomsta za komedii
Ráno 24. listopadu 2014 se navždy vrylo do paměti zaměstnanců Sony Pictures Entertainment. Lidé přišli do práce a zjistili, že jejich počítače jsou mrtvé. Na obrazovkách – obraz rudého kostlivce a nápis od skupiny, která si říkala Guardians of Peace („Strážci míru“). Text byl jednoduchý: „Vzali jsme všechno. Pokud nesplníte naše požadavky, zveřejníme to.“ Nebyla to přehnaná hrozba. Hackeři byli v síti Sony minimálně 2 měsíce, podle některých údajů až rok. Během té doby zkopírovali přes 100 TB dat: interní emaily vedení, finanční dokumenty, osobní údaje zaměstnanců (rodná čísla, zdravotní záznamy, platy), ještě nevydané filmy, scénáře budoucích projektů. A pak aktivovali malware, který zničil asi 70 % serverové infrastruktury společnosti. Pevné disky byly přepsány, bootovací záznamy smazány, počítače se proměnily v „cihly“. Příčina: komedie. Film „The Interview“ se Sethem Rogenem a Jamesem Francem. Satira, ve které dva novináři získají od CIA úkol zabít Kim Čong Una. Film, na který by si za půl roku asi nikdo nevzpomněl, kdyby nebylo Lazara. „Strážci míru“ požadovali od Sony, aby zrušila premiéru, a poté začali vyhrožovat teroristickými útoky v kinech, která film uvedou. Největší americké sítě odmítly distribuci. Sony nejprve zrušila premiéru, pak pod tlakem veřejnosti film přece jen uvedla v omezeném rozsahu a online. 19. prosince 2014 FBI oficiálně prohlásila: „Za útokem stojí Severní Korea.“ Prezident Obama veřejně vystoupil a označil vloupání za „ne akt války, ale vážný úder národní bezpečnosti“. Spojené státy uvalily další sankce. A já, když jsem studoval tento případ, přemýšlel jsem o tomto: stát zaútočil na soukromou společnost kvůli komedii. Ne kvůli zpravodajským informacím, ne kvůli vojenským tajemstvím, ale kvůli vtipu. A způsobil škodu, kterou Sony odhadla na 15 milionů dolarů jen v prvním čtvrtletí, nepočítaje reputační ztráty a soudní spory od zaměstnanců, jejichž data unikla. Ale nejvypovídající je, že Lazarus využil toto vloupání jako trénink: otestoval metody, prověřil infrastrukturu, prozkoumal reakci. Protože další cíl byl úplně jiného kalibru. Ne zábavní společnost, ale Centrální banka.