Anteprima del riassunto
Lazarus: L'Esercito Fantasma della Corea del Nord che Rubava Miliardi
Ragazzi, immaginate un posto dove 25 milioni di persone non hanno mai visto internet. Sembra un film di fantascienza, vero? Ma è la Corea del Nord. E in questo posto, ci sono circa 8.000 hacker. Non sanno cos'è YouTube, mai aperto Google, ma negli ultimi 10 anni sono riusciti a rubare oltre 7 miliardi di dollari. Una cifra che supera il PIL di tanti stati! E ogni centesimo rubato, alla fine, si trasforma in una testata nucleare. Io sono Mr. Darkweb, e oggi vi racconto di Lazarus: l'armata di hacker che potrebbe essere già nel vostro portafoglio.
L'Inizio: Un Ritrovamento Casuale e un Segnale d'Allarme
Tutto è partito per me per caso, alla fine del 2024. Stavo scavando nelle fughe di dati da un forum underground, cercando schemi finanziari nel Sud-Est asiatico. Routine, niente di che. Ma tra decine di file, mi è capitato un documento che all'inizio ho ignorato. Un piccolo file di testo, scritto in un inglese zoppicante, senza titolo né firma. Dentro, una lista di wallet, date, somme di denaro e, alla fine, una nota: "Mai toccare questi indirizzi. Non sono persone, è lo Stato". All'epoca non ci ho capito niente. Pensavo fosse la paranoia di qualcuno o uno scherzo. Ho salvato il file e me ne sono dimenticato. Poi, due mesi dopo, a febbraio 2025, è successo qualcosa che ha reso quella frase tutt'altro che uno scherzo. Dalla più grande borsa di criptovalute del mondo sono spariti 155 miliardi di dollari in una notte. Senza password hackerate, senza phishing, senza un minimo errore da parte della vittima. E quando l'FBI ha puntato il dito sui colpevoli – Lazarus Group – mi è tornato in mente quel documento. L'ho riaperto, confrontato gli indirizzi con quelli pubblicati dall'FBI. Quattro su cinquantuno coincidevano. Da lì ho iniziato a scavare, e più andavo a fondo, più il quadro diventava terrificante. Lazarus non è un gruppo di hacker come li intendiamo noi. Non sono quattro ragazzi in un seminterrato o anonimi di chat che cercano soldi. È il cyberspazio di un intero stato: la Corea del Nord. La nazione più chiusa del pianeta, che ufficialmente nega la loro esistenza, ma su cui basa tutta la sua corsa ai missili nucleari. Il Dipartimento di Giustizia USA definisce Lazarus uno strumento di destabilizzazione della cybersicurezza globale e di generazione di reddito illegale, in violazione delle sanzioni internazionali. Dietro questa frase fredda si nasconde una realtà da far accapponare la pelle. Lazarus è dietro l'attacco a Sony Pictures nel 2014, la rapina alla banca centrale del Bangladesh nel 2016, il virus WannaCry che nel 2017 ha paralizzato ospedali in 150 paesi, e decine di furti di criptovalute per un totale di oltre 7 miliardi di dollari. Ci ho messo mesi per questo report, ho letto centinaia di documenti: accuse del Dipartimento di Giustizia, rapporti FBI, analisi di Chainalysis ed Elliptic, testimonianze di disertori nordcoreani, materiale del gruppo di esperti dell'ONU, e discussioni su forum underground. E più leggevo, più capivo: quello che fa Lazarus è unico. Mai nella storia uno stato ha costruito la sua economia sugli attacchi hacker. La Corea del Nord l'ha fatto. Questa è la storia del terrorismo di stato mascherato da cybercrimine. Di un paese che ha trasformato i suoi migliori matematici in ladri. Di persone selezionate a scuola, addestrate come forze speciali, mandate all'estero a rubare miliardi senza poter tenere un centesimo. E vi racconto partendo dalla fine: la rapina più grande nella storia delle criptovalute. Perché è quella che mostra cosa è diventata questa macchina e perché nessuno può fermarla.
Il Colpo Grosso: Il Furto a BYBIT
21 febbraio 2025, venerdì. Dubai. L'ufficio di BYBIT, una delle maggiori borse di criptovalute al mondo. Una giornata come un'altra. Operazione di routine: spostare fondi da un cold wallet a un hot wallet. Una procedura fatta decine di volte. Tre firme, più conferme. Tutto secondo protocollo. Sullo schermo, l'interfaccia standard di Safe Wallet, una piattaforma multi-firma usata da migliaia di aziende. L'importo, l'indirizzo del destinatario, il tasto di conferma. Il CEO Ben Zhao ha guardato lo schermo. Tutto sembrava perfetto. Ha premuto "Conferma". Altri due dipendenti hanno fatto lo stesso. Dopo 40 minuti, 401.347 Ethereum, quasi un miliardo e mezzo di dollari, erano spariti. Non sull'indirizzo giusto, non nel wallet giusto, non nel paese giusto. La cosa fondamentale da capire è: nessuno ha sbagliato. Il sistema non è andato in crash. Le password non sono state rubate. I dipendenti non hanno cliccato su link di phishing. Hanno fatto esattamente quello che dovevano fare. Ed è proprio su questo che contavano quelli dall'altra parte dello schermo. Cosa è successo davvero? Pochi giorni prima dell'attacco, gli hacker avevano compromesso il computer di un programmatore di Safe Wallet – non di BYBIT, ma della piattaforma stessa. Non hanno sfondato le difese, non hanno indovinato le password, non hanno cercato falle nel codice. Sono entrati attraverso la persona. Ingegneria sociale: una chiamata, un'email, un invito a una conferenza o un colloquio falso. Il metodo esatto è ancora segreto, ma secondo la Safe Ecosystem Foundation, la compromissione è avvenuta tramite la postazione di lavoro del programmatore. Una volta ottenuto l'accesso, hanno rubato i session token, chiavi temporanee che permettono di accedere al servizio cloud senza reinserire la password. Così hanno aggirato l'autenticazione a due fattori. Hanno calcolato i tempi, lavorando negli stessi orari del programmatore per non destare sospetti nei sistemi di monitoraggio. E poi, il 19 febbraio, due giorni prima dell'attacco, hanno sostituito un singolo file: un pezzo di codice JavaScript che gestiva la visualizzazione delle transazioni. Questo file è arrivato sul server tramite il dominio ufficiale di Safe Wallet. Ha funzionato perfettamente per tutti gli utenti, tranne uno. BYBIT. Un miliardo e mezzo, e nessuno se n'è accorto al momento del trasferimento? Sembra una sceneggiatura da film scadente, ma è esattamente così che funziona. Quando sei abituato a premere "Conferma" ogni giorno, e tutto fila liscio, non controlli ogni singolo pixel dello schermo. Non è negligenza, è fiducia nel sistema usato da migliaia di aziende. E Lazarus non ha hackerato il sistema, ha hackerato questa fiducia. Il codice modificato mostrava ai dipendenti di BYBIT una cosa, ma inviava un'altra. Le loro firme su hardware wallet si sono trasformate in quella che gli esperti di sicurezza hanno chiamato "blind signature". Loro confermavano una transazione che non vedevano. Dieci ore dopo il furto, 350.000 utenti di
Finanziamento della Corsa ai Missili: Soldi dal Cyberspazio
Secondo le stime del gruppo di esperti ONU sciolto nel 2024, fino al 40% dei finanziamenti per i programmi nucleari e missilistici della Corea del Nord proviene da furti informatici. Il 40% – non dal commercio di carbone, non dalla vendita di armi, non dagli aiuti degli alleati, ma da criptovalute rubate. Non è un'ipotesi giornalistica. È una conclusione di una commissione internazionale che lavorava sotto il mandato del Consiglio di Sicurezza. Il miliardo e mezzo rubato da BYBIT non è un crimine per arricchirsi. È una voce nel bilancio statale che ufficialmente non esiste. Solo nel 2025, secondo la piattaforma Chainalysis, gli hacker legati alla Corea del Nord hanno rubato oltre 2 miliardi di dollari, il 51% in più rispetto all'anno precedente. Dal 2019 alla fine del 2025: 6.75 miliardi. Il 76% di tutti i furti di criptovalute al mondo. Tre quarti – un solo paese, un solo operatore. La società di analisi Elliptic, che ha indagato sul furto, l'ha formulato così: "Lazarus Group non è un'organizzazione sponsorizzata dallo stato nel senso comune. Lazarus è la Corea del Nord, e la Corea del Nord è Lazarus. Non c'è confine tra gli hacker e il regime, non c'è spazio. È un organismo unico". E qui inizia la parte più oscura di questa storia. Perché per capire come un gruppo da uno dei paesi più poveri e isolati al mondo sia riuscito a rubare miliardi, dobbiamo tornare indietro di 20 anni, in un posto di cui quasi nessuno sa nulla. Dove i bambini vengono selezionati a scuola. Non per meriti sportivi, non per talento musicale, ma per la capacità di risolvere problemi matematici più velocemente di chiunque altro. E dove da questi bambini si creano soldati che non imbracceranno mai un'arma, ma causeranno più danni di qualsiasi esercito.
Nascita del Cyber-Esercito: Da Kim Il-sung al Bureau 121
Nel 1996, Kim Jong-il, allora leader della Corea del Nord, visitò la linea del fronte militare. Secondo rapporti dell'intelligence sudcoreana, disse una frase che segnò i successivi 30 anni di storia del suo paese: "Tutte le guerre del futuro saranno guerre informatiche". 1996. Internet era ancora agli albori. La maggior parte delle persone sul pianeta non sapeva cos'era l'email, e l'uomo che guidava una delle nazioni più povere del mondo aveva capito che una tastiera era più pericolosa di un carro armato. Più tardi, negli anni 2000, si espresse ancora più duramente. Secondo ricercatori di C4ADS, che citano materiali dell'intelligence sudcoreana, Kim Jong-il affermò che gli attacchi informatici sono come bombe atomiche. "La guerra viene vinta da chi, in tempo di pace, ottiene più accesso alle informazioni tecnico-militari del nemico". Non scherzava, stava costruendo un esercito. Nel 1998 fu creato il Bureau 121 – un'unità di cyber-guerra all'interno della Direzione Generale dell'Intelligence (GRU). Non è l'equivalente di un dipartimento IT. È una struttura militare completa, subordinata al Terzo Ufficio di Sorveglianza Tecnica – l'organo principale responsabile di tutte le operazioni cyber della Corea del Nord. Le prime stime parlavano di circa 1800 specialisti nel Bureau 121. Nel 2014, l'agenzia sudcoreana NIS aumentò questa cifra a 5900. Ora, secondo il Wall Street Journal, si parla di 8000 hacker a libro paga, organizzati in unità militari. Ma da dove vengono gli hacker in un paese senza internet? La risposta è semplice e terrificante. Li crescono fin da piccoli. In tutta la Corea del Nord esiste un sistema di selezione, messo a punto negli anni '90. Nelle scuole medie e superiori per i più dotati vengono installati computer. Secondo testimoni di disertori, fino a poco tempo fa si trattava di macchine di livello Pentium 4. Gli insegnanti tengono d'occhio i bambini con eccezionali capacità matematiche. I migliori vengono mandati in università specializzate. La principale è il Mirim College, noto anche come Pyongyang University of Automation. Ogni anno sforna circa 100 hacker. Chang Se-yul, un disertore che ha studiato a Mirim e poi è fuggito in Corea del Sud, ha raccontato com'era il processo di studio: sei lezioni da 90 minuti al giorno. Linguaggi di programmazione da C ad assembly, sistemi operativi Linux e Windows. Una quantità enorme di tempo veniva dedicata all'architettura di Microsoft Windows: come è fatta, dove sono le vulnerabilità, come entrarci. Cinque anni di preparazione, senza fine settimana nel senso comune, senza internet libero, solo studio e pratica. Accanto a Mirim operano la Kim Il-sung University, la Kim Chaek University of Technology e la Moranbong University. Lì mandano i più capaci. Kim Hyung-gwan, ex professore di informatica, che per 19 anni ha insegnato in università di Hamhung preparando futuri cyber-soldati, dopo essere fuggito in Corea del Sud ha raccontato che i suoi migliori studenti andavano a fare stage in
L'Attacco a Sony Pictures: Vendetta per una Commedia
La mattina del 24 novembre 2014 resterà per sempre impressa nella memoria dei dipendenti di Sony Pictures Entertainment. La gente arrivò al lavoro e scoprì che i loro computer erano morti. Sugli schermi, l'immagine di un teschio rosso e un messaggio da un gruppo che si definiva Guardians of Peace ("Guardiani della Pace"). Il testo era semplice: "Abbiamo preso tutto. Se non soddisferete le nostre richieste, lo pubblicheremo". Non era un'esagerazione. Gli hacker erano rimasti nella rete di Sony per almeno 2 mesi, secondo alcuni dati fino a un anno. In questo tempo, hanno copiato oltre 100 TB di dati: email interne della dirigenza, documenti finanziari, dati personali dei dipendenti (codici fiscali, cartelle cliniche, stipendi), film non ancora usciti, sceneggiature di progetti futuri. E poi hanno attivato un malware che ha distrutto circa il 70% dell'infrastruttura server dell'azienda. Hard disk sovrascritti, boot record cancellati, computer trasformati in "mattoni". La causa: una commedia. Il film "The Interview" con Seth Rogen e James Franco. Una satira in cui due giornalisti vengono reclutati dalla CIA per uccidere Kim Jong-un. Un film che probabilmente nessuno avrebbe ricordato dopo sei mesi, se non fosse stato per Lazarus. I "Guardiani della Pace" hanno chiesto a Sony di annullare la premiere, e poi hanno iniziato a minacciare attentati nei cinema che avrebbero proiettato il film. Le maggiori catene americane hanno rifiutato la distribuzione. Sony prima ha annullato la premiere, poi, sotto la pressione dell'opinione pubblica, ha comunque distribuito il film in un circuito limitato e online. Il 19 dicembre 2014, l'FBI ha dichiarato ufficialmente: "Dietro l'attacco c'è la Corea del Nord". Il presidente Obama è intervenuto pubblicamente, definendo l'attacco "non un atto di guerra, ma un grave colpo alla sicurezza nazionale". Gli Stati Uniti hanno imposto ulteriori sanzioni. E io, studiando questo caso, ho pensato: uno stato ha attaccato un'azienda privata per una commedia. Non per dati d'intelligence, non per segreti militari, ma per una battuta. E ha causato un danno che Sony ha stimato in 15 milioni di dollari solo nel primo trimestre, senza contare i danni reputazionali e le cause legali dei dipendenti i cui dati sono trapelati. Ma la cosa più indicativa è che Lazarus ha usato questo attacco come allenamento: ha testato metodi, verificato infrastrutture, studiato le reazioni. Perché il prossimo obiettivo era di un calibro completamente diverso. Non un'azienda di intrattenimento, ma una Banca Centr