Voorbeeld van de samenvatting
Lazarus: Noord-Korea's Digitale Spookleger dat Miljarden Steelt
Stel je een land voor waar 25 miljoen mensen nog nooit het internet hebben gezien. Klinkt als een dystopische film, toch? Maar dit is de realiteit in Noord-Korea. En juist daar opereert een leger van zo'n 8.000 hackers. Ze weten niet wat YouTube is, hebben nog nooit Google geopend, maar de afgelopen tien jaar hebben ze meer dan 7 miljard dollar gestolen. Dat is meer dan het BBP van sommige landen! En elk gestolen centje wordt, in feite, omgezet in een kernraket. Ik ben Mister Darkweb, en vandaag duiken we in de wereld van Lazarus – de echte hacker-armada die nu misschien wel in jouw digitale portemonnee zit.
Het Begin: Een Vreemde Vondst en een Dringend Signaal
Dit hele verhaal begon voor mij eind 2024, eigenlijk per toeval. Ik zat te graven in datalekken van een groot dark web forum, op zoek naar informatie over financiële schema's in Zuidoost-Azië. Routineklusje, niks bijzonders. Maar tussen de stapels bestanden stuitte ik op iets dat ik eerst negeerde. Een klein tekstbestandje, geschreven in gebrekkig Engels, zonder titel of afzender. Binnenin: een lijst met cryptowallets, datums, transacties, en onderaan een notitie die zoiets betekende als: "Raak deze adressen nooit aan. Dit zijn geen mensen, dit is de staat." Ik snapte er toen niks van. Dacht aan paranoia, of een grap. Ik bewaarde het bestand en vergat het. Maar twee maanden later, in februari 2025, gebeurde er iets dat die zin ineens heel serieus maakte. Van de grootste crypto-exchange ter wereld verdween in één nacht 155 miljard dollar. Geen hack, geen phishing, geen enkele fout van de gebruikers. En toen het FBI de schuldigen aanwees – de Lazarus Group – moest ik wel aan dat document denken. Ik pakte het erbij, vergeleek de adressen met die van het FBI. Vier van de eenenvijftig kwamen overeen. Vanaf dat moment begon ik te graven. En hoe dieper ik ging, hoe enger het werd. Lazarus is geen doorsnee hackerbende. Geen groepje nerds in een kelder, geen anonieme chatters die wat extra geld willen verdienen. Dit is het cyberleger van een heel land – Noord-Korea. Het meest gesloten land ter wereld, dat hun bestaan officieel ontkent, maar ondertussen hun hele raketprogramma bouwt op hun werk. Het Amerikaanse Ministerie van Justitie noemt Lazarus een instrument voor het ondermijnen van de wereldwijde cybersecurity en het genereren van illegale inkomsten, in strijd met internationale sancties. Achter die droge woorden schuilt een werkelijkheid waar je koud van wordt. Lazarus zat achter de aanval op Sony Pictures in 2014, de roof bij de centrale bank van Bangladesh in 2016, de WannaCry-virus die in 2017 ziekenhuizen in 150 landen platlegde, en tientallen crypto-diefstallen met een totale waarde van meer dan 7 miljard dollar. Ik heb maanden aan dit onderzoek besteed, honderden documenten doorgespit: aanklachten van het Ministerie van Justitie, FBI-rapporten, analyses van blockchain-bedrijven Chainalysis en Elliptic, verklaringen van Noord-Koreaanse overlopers, rapporten van VN-experts, en zelfs besloten threads op dark web fora. En hoe meer ik las, hoe duidelijker het werd: wat Lazarus doet, is ongekend. De geschiedenis kent niets vergelijkbaars. Nog nooit heeft een land zijn economie gebouwd op hacker-aanvallen. Maar Noord-Korea heeft het gedaan. Dit is het verhaal van staatsgefinancierd terrorisme, verpakt als cybercriminaliteit. Over een land dat zijn beste wiskundigen tot dieven heeft gemaakt. Over mensen die op school worden geselecteerd, getraind als commando's, naar het buitenland gestuurd, en miljarden stelen zonder ook maar een cent te mogen houden. En ik begin niet bij het begin, maar bij het einde – de grootste crypto-roof uit de geschiedenis.
De Grootste Crypto-Roof Ooit: De BYBIT Hack
21 februari 2025, vrijdag. Dubai. Het kantoor van BYBIT, een van de grootste crypto-exchanges ter wereld. Een doodgewone werkdag. Een routineklus: geld overmaken van een koude naar een warme wallet. Een procedure die medewerkers al tientallen keren hadden uitgevoerd. Drie handtekeningen, meerdere goedkeuringen. Alles volgens het protocol. Op het scherm: de standaardinterface van Safe Wallet, een multi-signature platform dat duizenden bedrijven wereldwijd gebruiken. Het bedrag, het ontvangstadres, de 'bevestig'-knop. CEO Ben Zhou keek naar het scherm. Alles zag er perfect uit. Hij klikte op 'Bevestig'. Nog twee medewerkers deden hetzelfde. Veertig minuten later waren 401.347 Ethereum-tokens, bijna anderhalf miljard dollar, verdwenen. Niet naar het verkeerde adres, niet naar de verkeerde wallet, niet naar het verkeerde land. Hoe belangrijk is dit om te begrijpen: niemand maakte een fout. Het systeem faalde niet. Wachtwoorden werden niet gestolen. Medewerkers klikten niet op een phishing-link. Ze deden precies wat ze moesten doen. En dat was precies waar de mensen aan de andere kant van het scherm op rekenden. Wat gebeurde er echt? Een paar dagen voor de aanval hadden hackers de computer van een Safe Wallet-ontwikkelaar gecompromitteerd – niet van BYBIT, maar van het platform zelf. Ze braken de beveiliging niet met geweld, probeerden geen wachtwoorden te raden, zochten niet naar kwetsbaarheden in de code. Ze kwamen binnen via een mens. Sociale engineering: een telefoontje, een e-mail, een uitnodiging voor een conferentie, een nep-sollicitatiegesprek. De precieze methode is nog steeds geheim, maar volgens de Safe Ecosystem Foundation kwam de compromittering via de werkstation van de ontwikkelaar. Eenmaal binnen op zijn machine, stalen de hackers sessietokens – tijdelijke sleutels die je toegang geven tot de cloudservice van een bedrijf zonder opnieuw je wachtwoord in te voeren. Zo omzeilden ze tweefactorauthenticatie. Ze berekenden de timing, werkten tijdens dezelfde uren als de ontwikkelaar om geen argwaan te wekken bij monitoring-systemen. En toen, op 19 februari, twee dagen voor de aanval, vervingen ze één enkel bestand – een stukje JavaScript-code dat verantwoordelijk was voor het weergeven van transacties. Dit bestand kwam via het officiële Safe Wallet-domein op de server terecht. Het werkte perfect voor alle gebruikers, behalve één. Behalve BYBIT. Anderhalf miljard dollar, en niemand merkte het op tijdens de overdracht? Klinkt als een slecht script, maar zo werkt het dus. Als je elke dag gewend bent om op 'Bevestig' te klikken en alles altijd goed gaat, ga je niet elke pixel op je scherm controleren. Dit is geen nalatigheid, dit is vertrouwen in een systeem dat duizenden bedrijven gebruiken. En Lazarus hackte niet het systeem, ze hackten dit vertrouwen. De vervalste code liet de BYBIT-medewerkers één ding zien, maar stuurde iets heel anders weg. Hun handtekeningen op hardware wallets werden wat beveiligingsexperts later 'blinde handtekeningen'
Financiering van de Raketprogramma's: Geld uit Cyberruimte
Volgens de schattingen van een VN-expertengroep die in 2024 werd ontbonden, komt tot 40% van de financiering voor Noord-Korea's nucleaire en raketprogramma's uit cyberdiefstallen. 40% – niet uit kolenhandel, wapenverkoop of hulp van bondgenoten, maar uit gestolen cryptovaluta. Dit is geen journalistieke hypothese. Dit is de conclusie van een internationale commissie die onder mandaat van de Veiligheidsraad werkte. De 1,5 miljard dollar die van BYBIT werd gestolen, is geen misdaad uit winstbejag. Het is een post in een staatsbegroting die officieel niet bestaat. Alleen al in 2025, volgens het analyseplatform Chainalysis, stalen hackers gelieerd aan Noord-Korea meer dan 2 miljard dollar, een stijging van 51% ten opzichte van het voorgaande jaar. Totaal van 2019 tot eind 2025 – 6,75 miljard dollar. Dat is 76% van alle cryptodiefstallen wereldwijd. Driekwart – één land, één operator. Het analysebedrijf Elliptic, dat de hack onderzocht, formuleerde het zo: "Lazarus Group is geen door de staat gesponsorde groep in de gebruikelijke zin. Lazarus is Noord-Korea, en Noord-Korea is Lazarus. Er is geen grens tussen de hackers en het regime, geen hiaat. Het is één enkel organisme." En hier begint het meest duistere deel van dit verhaal. Want om te begrijpen hoe een groep uit een van de armste en meest geïsoleerde landen ter wereld leerde miljarden te stelen, moeten we 20 jaar terug in de tijd, naar een plek waar bijna niemand van weet. Naar een plek waar kinderen op school worden geselecteerd. Niet voor sportprestaties, niet voor muzikaal talent, maar voor hun vermogen om wiskundige problemen sneller op te lossen dan wie dan ook. En waar uit deze kinderen soldaten worden gemaakt die nooit een wapen zullen hanteren, maar meer schade aanrichten dan welk leger dan ook.
De Geboorte van een Cyberleger: Van Kim Il-sung tot Bureau 121
In 1996 bezocht Kim Jong-il, destijds de leider van Noord-Korea, de troepen aan het front. Volgens getuigenissen die bewaard zijn gebleven in Zuid-Koreaanse inlichtingenrapporten, zei hij een zin die de volgende 30 jaar van zijn landgeschiedenis bepaalde: "Alle oorlogen van de toekomst zullen computeroorlogen zijn." 1996. Het internet bestond nog nauwelijks. De meeste mensen op de planeet wisten niet wat e-mail was, en de man die een van de armste landen ter wereld bestuurde, had al begrepen dat een toetsenbord gevaarlijker was dan een tank. Later, in de jaren 2000, drukte hij zich nog scherper uit. Volgens onderzoekers van de organisatie C4ADS, die verwijzen naar Zuid-Koreaanse inlichtingenmateriaal, verklaarde Kim Jong-il dat cyberaanvallen als atoombommen zijn. "De oorlog wordt gewonnen door degene die in vredestijd meer toegang krijgt tot de militair-technische informatie van de vijand." Hij maakte geen grap, hij bouwde een leger. In 1998 werd Bureau 121 opgericht – een cyberoorlogseenheid binnen de Generale Staf van de Inlichtingendiensten (RGB). Dit is geen equivalent van een IT-afdeling. Dit is een volwaardige militaire structuur, ondergeschikt aan het Derde Technisch Bureau voor Observatie – het belangrijkste orgaan dat verantwoordelijk is voor alle cyberoperaties van Noord-Korea. Volgens vroege schattingen werkten er ongeveer 1800 specialisten in Bureau 121. Tegen 2014 verhoogde het Zuid-Koreaanse agentschap NIS dit aantal tot 5900. Nu, volgens de Wall Street Journal, gaat het om 8.000 voltijdse hackers, georganiseerd in militaire eenheden. Maar waar komen hackers vandaan in een land zonder internet? Het antwoord is zowel simpel als angstaanjagend. Ze worden vanaf kinds af aan gekweekt. Door heel Noord-Korea loopt een selectiesysteem, opgebouwd sinds de jaren negentig. In middelbare en hogere scholen voor begaafde leerlingen staan computers. Volgens verklaringen van overlopers waren dit tot voor kort machines op Pentium 4-niveau. Leraren volgen kinderen met uitzonderlijke wiskundige aanleg op. De besten worden naar gespecialiseerde universiteiten gestuurd. De belangrijkste daarvan is het Mirim College, ook wel bekend als de Pyongyang Universiteit voor Automatisering. Elk jaar leidt het zo'n 100 hackers op. Chang Se-yul, een overloper die in Mirim studeerde en later naar Zuid-Korea vluchtte, vertelde hoe het studieproces eruitzag: zes colleges van 90 minuten per dag. Programmeertalen van C tot assembly, besturingssystemen Linux en Windows. Enorme hoeveelheid tijd ging naar het ontleden van de architectuur van Microsoft Windows: hoe het is opgebouwd, waar de kwetsbaarheden zitten, hoe je erin kunt binnendringen. Vijf jaar training, zonder weekenden zoals wij die kennen, zonder vrij internet, alleen studie en praktijk. Naast Mirim werken de Kim Il-sung Universiteit, de Kim Chaek Technische Universiteit en de Moranbong Universiteit. Daar worden de meest getalenteerde studenten naartoe gestuurd. Kim Heung-kwang, een voormalige
Aanval op Sony Pictures: Wraak voor een Komedie
De ochtend van 24 november 2014 staat voor altijd gegrift in het geheugen van de medewerkers van Sony Pictures Entertainment. Mensen kwamen op het werk en ontdekten dat hun computers dood waren. Op de schermen: een afbeelding van een rode schedel en een bericht van een groep die zichzelf 'Guardians of Peace' noemde. De tekst was simpel: "We hebben alles meegenomen. Als jullie niet aan onze eisen voldoen, publiceren we het." Dit was geen overdrijving. De hackers waren minstens 2 maanden, volgens sommige bronnen zelfs een jaar, binnen het netwerk van Sony. In die tijd kopieerden ze meer dan 100 TB aan data: interne e-mails van het management, financiële documenten, persoonlijke gegevens van medewerkers (burgerservicenummers, medische dossiers, salarissen), nog niet uitgebrachte films, scripts voor toekomstige projecten. Daarna activeerden ze een malware die ongeveer 70% van de serverinfrastructuur van het bedrijf vernietigde. Harde schijven werden overschreven, boot records gewist, computers werden 'bakstenen'. De reden: een komedie. De film 'The Interview' met Seth Rogen en James Franco. Een satire waarin twee journalisten door de CIA worden gerekruteerd om Kim Jong-un te vermoorden. Een film die waarschijnlijk niemand een half jaar later nog zou herinneren, als Lazarus er niet was geweest. De 'Guardians of Peace' eisten dat Sony de première zou annuleren, en begonnen vervolgens te dreigen met terreuraanslagen in bioscopen die de film zouden vertonen. De grootste Amerikaanse bioscopenketens weigerden de film te vertonen. Sony annuleerde eerst de première, en na publieke druk bracht het de film toch uit in een beperkte oplage en online. Op 19 december 2014 verklaarde het FBI officieel: "Noord-Korea zit achter de aanval." President Obama sprak publiekelijk, en noemde de hack "geen daad van oorlog, maar een serieuze slag tegen de nationale veiligheid." De Verenigde Staten legden aanvullende sancties op. En ik, toen ik deze zaak bestudeerde, dacht aan het volgende: een staat viel een privébedr