Összefoglaló előnézete
Bevezetés: Egy ország, ahol az internet csak álom, de a hackerek milliárdokat lopnak
Képzeld el a helyzetet: egy ország, ahol 25 millió ember sosem látott még internetet. Nem hallott még a Google-ról, nem pörgette végig a YouTube-ot, fogalma sincs, mi az a TikTok. Ez nem sci-fi forgatókönyv, ez a valóság Észak-Koreában. És pont ebből a zárt világból kerül elő egy körülbelül 8000 fős, rendkívül képzett hackerekből álló sereg. Nem vicc, nem túlzás. Ez a Lazarus csoport, és ők az elmúlt évtizedben több mint 7 milliárd dollárt loptak el. Ez az összeg egyes államok teljes GDP-jét meghaladja. És ami a legijesztőbb: minden egyes ellopott cent végső soron egy újabb atomtöltet vagy rakéta fejlesztését finanszírozza. Ma arról fogunk beszélni, hogy kik ezek a digitalis szellemkatonák, hogyan működnek, és miért jelentenek ők a világ egyik legnagyobb, legrejtettebb és legveszélyesebb fenyegetését.
A kezdetek: Egy véletlen lelet és egy baljós figyelmeztetés
Minden úgy kezdődött, hogy a szerző, aki magát csak Mr. Darkwebként említi, a sötét web egyik nagy fórumán kutakodott, pénzügyi sémák után kutatva Délkelet-Ázsiában. Ez egy teljesen rutinmunka volt, amikor is belebotlott egy kis, töredezett angolsággal írt szöveges fájlba. Semmi különös, gondolta elsőre. Aztán meglátta a lényeget: egy lista volt benne kriptovaluta címekkel, dátumokkal, összegekkel, és a végén egy üzenet, amit nagyjából így lehetett lefordítani: "Soha ne nyúlj ezekhez a címekhez. Ők nem emberek, ők az állam." Mr. Darkweb akkor még legyintett, talán egy paranoid elme játéka, vagy egy rossz vicc. De aztán jött a február 2025, és egy esemény, ami mindent megváltoztatott. A világ egyik legnagyobb kriptovaluta tőzsdéjéről egy éjszaka eltűnt 1,5 milliárd dollár. Nem volt szó behatolásról, adathalászatról, semmiféle hiba nem történt a felhasználók részéről. És amikor az FBI ki is nevezte a tetteseket – a Lazarus csoportot – Mr. Darkweb eszébe jutott a régi fájl. Összevetette a címeket, és döbbenetes módon a 51 címből 4 egyezett. Ekkortól kezdve kezdett el mélyebbre ásni, és a kép, ami kirajzolódott, egyre hátborzongatóbb lett. A Lazarus nem egy szokványos hackercsapat; ők Észak-Korea hivatalos kiberserege, akiknek munkája – a rezsim tagadása ellenére – az ország rakétaprogramját finanszírozza.
Az állam mint kiberbűnöző: A Lazarus és a globális fenyegetés
Az Egyesült Államok Igazságügyi Minisztériuma szerint a Lazarus egy olyan eszköz, amely aláássa a globális kiberbiztonságot, és nemzetközi szankciókat sértve illegális bevételt generál. Ez a száraz megfogalmazás mögött egy olyan valóság rejtőzik, ami hideglelést okoz. A Lazarus felelős a Sony Pictures 2014-es támadásáért, a bangladesi központi bank 2016-os kirablásáért, a WannaCry vírusért, ami 2017-ben 150 ország kórházait bénította meg, és rengeteg más kriptovaluta-rablásért, amelyek összértéke meghaladja a 7 milliárd dollárt. Ez a kutatás több hónapot vett igénybe, rengeteg dokumentumot kellett áttanulmányozni: vádiratokat, FBI-jelentéseket, blokklánc-elemző cégek (Chainalysis, Elliptic) szakvéleményeit, észak-koreai disszidensek vallomásait, ENSZ szakértői jelentéseket, valamint sötét webes fórumok anyagait. Ami kiderült: a Lazarus tevékenysége példátlan. Egyetlen ország sem építette még a gazdaságát hackertámadásokra, de Észak-Korea megtette. Ez egy olyan állami terrorizmus, ami kiberbűnözésnek álcázza magát. Egy olyan ország története, amely a legjobb matematikusaiból tolvajokat csinált. Emberek, akiket iskolában választanak ki, speciális egységként képeznek ki, külföldre küldenek, és akik milliárdokat lopnak, anélkül, hogy egyetlen fillért is megtarthatnának maguknak. A történetet a kriptovaluták történetének legnagyobb rablásával kezdjük, mert ez mutatja meg igazán, mivé vált ez a gépezet, és miért nem képes senki megállítani.
A kriptovaluták történetének legnagyobb rablása: A BYBIT feltörése
február 21., péntek. Dubaj. A BYBIT egyik vezető kriptovaluta-tőzsde irodája. Egy átlagos munkanap. Rutinművelet: pénz átutalása hideg tárcából meleg tárcába. Ezt a procedúrát az alkalmazottak már számtalanszor elvégezték. Több aláírás szükséges, mint ahány megerősítés. Minden a protokoll szerint zajlik. A képernyőn a Safe Wallet szokásos felülete, egy multi-signature platform, amit több ezer cég használ világszerte. Az összeg, a fogadó cím, a megerősítő gomb. Ben Zhao vezérigazgató rákattintott a 'Megerősítés' gombra. Még két alkalmazott is megtette ugyanezt. Negyven perc múlva 401 347 Ethereum egység, közel másfél milliárd dollár, eltűnt. Nem a jó címre, nem a jó tárcába, nem a jó országba. Fontos megérteni: senki sem hibázott. A rendszer nem ment tönkre. Jelszavakat nem loptak el. Az alkalmazottak nem kattintottak adathalász linkre. Pontosan azt tették, amit tenniük kellett. És pont erre számítottak azok, akik a képernyő túloldalán ültek. Mi történt valójában? Néhány nappal a támadás előtt a hackerek kompromittálták a Safe Wallet egyik fejlesztőjének számítógépét – nem a BYBIT-ét, hanem magáét a platformét, amelyen a megerősítés zajlott. Nem törtek be erővel, nem próbáltak jelszavakat kitalálni, nem kerestek kódhibákat. Az emberen keresztül jutottak be. Szociális mérnökség: telefonhívás, levél, meghívó egy konferenciára vagy egy hamis interjúra. A pontos módszer még titkos, de a Safe Ecosystem Foundation szerint a fejlesztő munkaállomásán keresztül történt a kompromittálás. A géphez való hozzáférés megszerzése után a hackerek ellopták a session tokeneket – ideiglenes kulcsokat, amelyek lehetővé teszik a belépést a cég felhőszolgáltatásába jelszó újbóli megadása nélkül. Így kerültek meg kétfaktoros hitelesítést. Kiszámolták az időt, ugyanazon órákban dolgoztak, mint a fejlesztő, hogy ne keltsenek gyanút a monitorozó rendszerekben. Aztán, február 19-én, két nappal a támadás előtt, kicseréltek egyetlen fájlt – egy JavaScript kódrészletet, ami a tranzakciók megjelenítéséért felelős. Ez a fájl a Safe Wallet hivatalos domainjén keresztül került a szerverre. Minden felhasználónál tökéletesen működött, kivéve egyet. A BYBIT-nél. Lehetséges, hogy másfél milliárd dollár tűnt el, és senki sem vette észre a tranzakció pillanatában? Ez rossz forgatókönyvnek hangzik, de pontosan így működik. Amikor az ember megszokta, hogy minden nap kattint a 'Megerősítés' gombra, és minden rendben megy, nem ellenőrzi le minden képpontot a képernyőn. Ez nem hanyagság, ez bizalom a rendszer iránt, amit több ezer cég használ. És a Lazarus nem a rendszert törte fel, hanem ezt a bizalmat törte meg. A kicserélt kód mást mutatott a BYBIT alkalmazottainak, és mást küldött el. Az ő hardveres tárcákon történő aláírásaikból az vált, amit a biztonsági szakértők később "vak aláírásnak" neveztek. Egy olyan tranzakciót erősítettek meg, amit nem láttak. A feltörés után 10 órával 350 000 BYBIT felhasználó nyújtott be visszavonási kérelmet. Pánik. A tőzsde megremegett. Az Ethereum
A rakétaprogram finanszírozása: Pénz a kibertérből
A 2024-ben feloszlatott ENSZ szakértői csoport becslései szerint Észak-Korea nukleáris és rakétaprogramjának finanszírozásának akár 40%-a is kiberlopásokból származik. 40%! Nem szénkereskedelemből, nem fegyvereladásból, nem szövetségesek segítségéből, hanem lopott kriptovalutákból. Ez nem újságírói feltételezés. Ez egy nemzetközi bizottság következtetése, amely a Biztonsági Tanács felhatalmazása alatt dolgozott. A BYBIT-ről ellopott másfél milliárd dollár nem haszonlesésből származó bűncselekmény. Ez egy állami költségvetés tétele, amely hivatalosan nem létezik. Csak 2025-ben, a Chainalysis elemző platform adatai szerint, az észak-koreai kötődésű hackerek több mint 2 milliárd dollárt loptak el, ami 51%-kal több, mint az előző évben. Összesen 2019 végétől 2025 végéig – 6,75 milliárd dollár. Ez a világ összes kriptovaluta-lopásának 76%-a. Háromnegyede egy országtól, egy üzemeltetőtől. Az Elliptic cég, amely a feltörést vizsgálta, így fogalmazott: "A Lazarus csoport nem egy államilag támogatott csoport a hagyományos értelemben. A Lazarus maga Észak-Korea, és Észak-Korea maga a Lazarus. Nincs határ a hackerek és a rezsim között, nincs rés. Ez egy egységes szervezet." És itt kezdődik a történet legkomorabb része. Mert ahhoz, hogy megértsük, hogyan tanult meg a világ egyik legszegényebb és legelszigeteltebb országából származó csoport milliárdokat lopni, 20 évet kell visszaugranunk az időben, egy olyan helyre, amiről szinte senki sem tud. Oda, ahol a gyerekeket az iskolában választják ki. Nem sportteljesítményért, nem zenei tehetségért, hanem azért, mert képesek gyorsabban megoldani matematikai feladatokat, mint bárki más. És ahol ezekből a gyerekekből katonákat nevelnek, akik soha nem fognak fegyvert a kezükbe, de nagyobb kárt okoznak, mint bármely hadsereg.
A kibersereg születése: Kim Ir Szen-től a 121-es Irodáig
1996-ban Kim Dzsongil, az akkori észak-koreai vezető, egy látogatást tett a katonáknál a frontvonalon. A dél-koreai hírszerzési jelentésekben fennmaradt beszámolók szerint egy olyan mondatot mondott, amely meghatározta országa következő 30 évét: "A jövő összes háborúja számítógépes háború lesz." 1996. Az internet még alig létezett. A bolygó lakosságának többsége nem tudta, mi az az e-mail, de egy a világ legszegényebb országait irányító ember már felismerte, hogy egy billentyűzet veszélyesebb, mint egy tank. Később, a kétezres években, még keményebben fogalmazott. A C4ADS kutatóinak adatai szerint, akik dél-koreai hírszerzési anyagokra hivatkoznak, Kim Dzsongil kijelentette, hogy a kibertámadások olyanok, mint az atombombák. "A háborút az nyeri meg, aki békeidőben nagyobb hozzáférést szerez az ellenség katonai-technikai információihoz." Nem viccelt, hadsereget épített. 1998-ban létrehozták a 121-es Irodát – a Fő Hírszerzési Igazgatóság (GRU) keretében működő kibervédelmi egységet. Ez nem egy IT-osztály analógja. Ez egy teljes értékű katonai struktúra, amely a Koreai Népi Demokratikus Köztársaság összes kiberműveletéért felelős Fő Műszaki Megfigyelő Irodájának (Third Technical Bureau of Observation) alárendeltje. A korai becslések szerint a 121-es Irodában mintegy 1800 szakember dolgozott. 2014-re a dél-koreai NIS ügynökség ezt a számot 5900-ra emelte. Most, a Wall Street Journal szerint, már 8000 hivatásos hackerről van szó, akik katonai egységekbe vannak szervezve. De honnan származnak hackerek egy internet nélküli országban? A válasz egyszerű és egyben hátborzongató. Gyerekkoruktól kezdve nevelik őket. Észak-Korea-szerte egy 90-es évekből származó kiválasztási rendszer működik. A tehetséges diákoknak közép- és felsőfokú iskoláiban számítógépeket telepítettek. A disszidensek vallomásai szerint ezek még nem olyan régen Pentium 4 szintű gépek voltak. A tanárok megfigyelik a kiemelkedő matematikai képességekkel rendelkező gyerekeket. A legjobbak speciális egyetemekre kerülnek. A legfontosabb közülük a Mirim Főiskola, más néven a Phenjani Automatizálási Egyetem. Évente körülbelül 100 hackert végez. Chang Seyul, egy disszidens, aki a Mirimben tanult, majd Dél-Koreába szökött, elmesélte, milyen volt az oktatási folyamat: napi hat 90 perces óra. Programozási nyelvek C-től az assemblyig, Linux és Windows operációs rendszerek. Rengeteg időt töltöttek a Microsoft Windows architektúrájának elemzésével: hogyan működik, hol vannak a sebezhetőségek, hogyan lehet behatolni. Öt év felkészülés, hétvégi pihenés nélkül a szokásos értelemben, szabad internet nélkül, csak tanulás és gyakorlat. A Mirim mellett működik a Kim Ir Szen Egyetem, a Kim Cseki Műszaki Egyetem és a Moranbong Egyetem. Oda küldik a legtehetségesebbeket. Kim Hyungwan, egy volt informatikaprofesszor, aki 19 évig tanított Hamhung egyetemein és készítette fel a jövőbeli kiberkatonákat, miután Dél-Koreába szökött, elmondta, hogy a legjobb diákjai Kínába, különösen Shenyang városába mentek szakmai