Podgląd streszczenia
Lazarus: Północnokoreańska Armia Cieni, Która Kradnie Miliardy
Wyobraźcie sobie kraj, gdzie 25 milionów ludzi żyje bez dostępu do internetu. Brzmi jak scenariusz z dystopijnej powieści, prawda? A jednak to rzeczywistość. I właśnie w tym kraju działa około 8 tysięcy hakerów. Oni nie mają pojęcia, czym jest YouTube, nigdy nie otworzyli Google, ale przez ostatnie 10 lat udało im się ukraść ponad 7 miliardów dolarów. To suma, która przewyższa PKB niektórych państw. A każdy skradziony cent, w gruncie rzeczy, zamienia się w jądrową głowicę. Nazywam się Mister Darkweb i dzisiaj opowiem wam o Lazarus – prawdziwej armii hakerów, która być może właśnie teraz siedzi w waszym portfelu.
Początek: Przypadkowe znalezisko i niepokojący sygnał
Ta historia zaczęła się dla mnie kompletnie przypadkiem pod koniec 2024 roku. Grzebałem w wyciekach z jednego z dużych, mrocznych forów, zbierając informacje o finansowych schematach w Azji Południowo-Wschodniej. Rutyna, nic specjalnego. Ale wśród dziesiątek plików trafił mi się jeden, na który początkowo nie zwróciłem uwagi. Był to mały dokument tekstowy, napisany łamanym angielskim, bez nagłówka i podpisu. W środku – lista portfeli, daty, sumy przelewów, a na samym końcu dopisek, który można przetłumaczyć mniej więcej tak: "Nigdy nie dotykajcie tych adresów. To nie ludzie, to państwo". Nie zrozumiałem wtedy, o co chodzi. Pomyślałem, że to czyjaś paranoja albo żart. Zapisałem plik i zapomniałem. Ale dwa miesiące później, w lutym 2025 roku, wydarzyło się coś, po czym ta fraza przestała wydawać się żartem. Z największej giełdy kryptowalut na świecie w ciągu jednej nocy wyparowało 155 miliardów dolarów. Bez włamania na hasła, bez phishingu, bez ani jednego błędu ze strony ofiary. I kiedy FBI wskazało winnych – Lazarus Group – przypomniałem sobie o tym dokumencie. Otworzyłem go, porównałem adresy z tymi, które opublikowało biuro. Cztery z pięćdziesięciu jeden pasowały. Od tego momentu zacząłem kopać, a im głębiej wchodziłem, tym bardziej przerażający stawał się obraz. Lazarus to nie jest po prostu grupa hakerska w tradycyjnym rozumieniu. To nie banda entuzjastów w kapturach siedzących w piwnicy, ani anonimowi z czatu, którzy postanowili dorobić. To cyberwojsko całego państwa – Korei Północnej. Najbardziej zamkniętego kraju na planecie, który oficjalnie zaprzecza ich istnieniu, ale jednocześnie buduje na ich pracy całą swoją rakietową strategię. Ministerstwo Sprawiedliwości USA nazywa Lazarus narzędziem podważania globalnego cyberbezpieczeństwa i generowania nielegalnych dochodów z naruszeniem międzynarodowych sankcji. Za tą suchą formułką kryje się rzeczywistość, od której robi się nieprzyjemnie. Lazarus stoi za atakiem na Sony Pictures w 2014 roku, za grabieżą banku centralnego Bangladeszu w 2016 roku, za wirusem WannaCry, który w 2017 roku sparaliżował szpitale w 150 krajach świata, i za dziesiątkami kradzieży kryptowalut, których łączna suma przekracza 7 miliardów dolarów. Poświęciłem temu śledztwu kilka miesięcy, przekopałem setki dokumentów: akty oskarżenia Departamentu Sprawiedliwości, raporty FBI, analizy firm blockchainowych Chainalysis i Elliptic, zeznania uciekinierów z KRLD, materiały grupy ekspertów ONZ, a także zamknięte wątki na mrocznych forach. I im więcej czytałem, tym wyraźniej rozumiałem: to, co robi Lazarus, nie ma odpowiednika. W historii nic takiego nie miało miejsca. Żadne państwo na świecie nigdy nie budowało swojej gospodarki na atakach hakerskich. A Korea Północna zbudowała. To historia o państwowym terroryzmie, zamaskowanym pod cyberprzestępczość. O kraju, który zamienił swoich najlepszych matematyków w złodziei. O ludziach, których wybiera się w szkole, szkoli jak wojska specjalne, wysyła za granicę, a którzy kradną
Największe rabunki w historii kryptowalut: Włamanie na BYBIT
21 lutego 2025 roku, piątek. Dubaj. Biuro BYBIT – jednej z największych giełd kryptowalut na świecie. Zwykły dzień pracy. Rutynowa operacja: transfer środków z zimnego portfela do gorącego. Procedura, którą pracownicy wykonywali dziesiątki razy. Trzy podpisy z kilku potwierdzeń. Wszystko zgodnie z protokołem. Na ekranie – standardowy interfejs Safe Wallet, platformy multi-signature, z której korzystają tysiące firm na całym świecie. Kwota, adres odbiorcy, przycisk potwierdzenia. Dyrektor generalny Ben Zhou spojrzał na ekran. Wszystko wyglądało idealnie. Kliknął "Potwierdź". Jeszcze dwóch pracowników zrobiło to samo. Po 40 minutach 401 347 jednostek Ethereum, prawie półtora miliarda dolarów, zniknęło. Nie na ten adres, nie do tego portfela, nie do tego kraju. Ważne, żeby zrozumieć: nikt nie popełnił błędu. System nie zawiódł. Hasła nie zostały skradzione. Pracownicy nie kliknęli w żaden phishingowy link. Zrobili dokładnie to, co mieli zrobić. I właśnie na to liczyli ci, którzy stali po drugiej stronie ekranu. Co się naprawdę wydarzyło? Kilka dni przed atakiem hakerzy skompromitowali komputer jednego z deweloperów Safe Wallet – nie BYBIT, a samej platformy, przez którą przechodziło potwierdzenie. Nie łamali zabezpieczeń na siłę, nie próbowali odgadnąć haseł, nie szukali luk w kodzie. Wkradli się przez człowieka. Inżynieria społeczna: telefon, mail, zaproszenie na konferencję czy fałszywa rozmowa kwalifikacyjna. Dokładna metoda do dziś jest tajna, ale według Safe Ecosystem Foundation, kompromitacja nastąpiła poprzez stację roboczą dewelopera. Po uzyskaniu dostępu do jego maszyny, hakerzy skradli tokeny sesyjne – tymczasowe klucze pozwalające na wejście do chmurowego serwisu firmy bez ponownego wprowadzania hasła. Tak ominęli dwuskładnikową autoryzację. Obliczyli czas, pracowali w tych samych godzinach, co deweloper, aby nie wzbudzić podejrzeń systemów monitoringu. A potem, 19 lutego, 2 dni przed atakiem, podmienili jeden jedyny plik – fragment kodu JavaScript, odpowiedzialny za wyświetlanie transakcji. Ten plik trafił na serwer przez oficjalną domenę Safe Wallet. Działał idealnie dla wszystkich użytkowników, oprócz jednego. Oprócz BYBIT. Niby półtora miliarda, i nikt nie zauważył w momencie transferu? Brzmi jak zły scenariusz, ale właśnie tak to działa. Kiedy przyzwyczaisz się klikać "Potwierdź" każdego dnia, a wszystko zawsze przebiega standardowo, nie sprawdzasz każdego piksela na ekranie. To nie lekkomyślność, to zaufanie do systemu, z którego korzystają tysiące firm. I Lazarus nie zhakował systemu, zhakował to zaufanie. Podmieniony kod pokazywał pracownikom BYBIT jedno, a wysyłał zupełnie co innego. Ich podpisy na sprzętowych portfelach zamieniły się w to, co specjaliści ds. bezpieczeństwa nazwali później "ślepe podpisy". Potwierdzali transakcję, której nie widzieli. 10 godzin po włamaniu 350 000 użytkowników BYBIT złożyło wnioski o wypłatę środków. Panika. Giełda zachwiała się. Cena Ethereum spadła. Rynek zamarł, a skradzione pieniądze już się
Finansowanie programu rakietowego: Pieniądze z cyberprzestrzeni
Według szacunków rozwiązanej w 2024 roku grupy ekspertów ONZ, do 40% finansowania programu nuklearnego i rakietowego Korei Północnej pochodzi z kradzieży w cyberprzestrzeni. 40% – nie z handlu węglem, nie ze sprzedaży broni, nie z pomocy sojuszników, a z ukradzionej kryptowaluty. To nie hipoteza dziennikarska. To konkluzja międzynarodowej komisji, która pracowała pod mandatem Rady Bezpieczeństwa. Skradzione z BYBIT półtora miliarda – to nie przestępstwo dla zysku. To pozycja w budżecie państwa, którego oficjalnie nie ma. Tylko w 2025 roku, według danych platformy analitycznej Chainalysis, hakerzy związani z KRLD ukradli ponad 2 miliardy dolarów, o 51% więcej niż rok wcześniej. Łącznie od 2019 do końca 2025 – 6,75 miliarda. To 76% wszystkich kradzieży kryptowalut na świecie. Trzy czwarte – jedno państwo, jeden operator. Firma analityczna Elliptic, która badała włamanie, sformułowała to tak: "Lazarus Group to nie sponsorowana przez państwo grupa w zwykłym sensie. Lazarus to Korea Północna, a Korea Północna to Lazarus. Nie ma granicy między hakerami a reżimem, nie ma luki. To jeden organizm". I tutaj zaczyna się najmroczniejsza część tej historii. Bo żeby zrozumieć, jak grupa z jednego z najbiedniejszych i najbardziej izolowanych krajów świata nauczyła się kraść miliardy, trzeba cofnąć się o 20 lat, do miejsca, o którym prawie nikt nie wie. Tam, gdzie dzieci są wybierane w szkole. Nie za osiągnięcia sportowe, nie za talent muzyczny, a za umiejętność rozwiązywania zadań matematycznych szybciej od wszystkich. I gdzie z tych dzieci robi się żołnierzy, którzy nigdy nie wezmą do ręki broni, ale wyrządzą więcej szkód niż jakakolwiek armia.
Narodziny cyberwojska: Od Kim Ir Sena do Biura 121
W 1996 roku Kim Dzong Il, ówczesny przywódca Korei Północnej, złożył wizytę wojskowym na linii frontu. Według świadectw zachowanych w południowokoreańskich raportach wywiadowczych, wypowiedział zdanie, które zdefiniowało kolejne 30 lat historii jego kraju: "Wszystkie wojny przyszłości będą wojnami komputerowymi". Rok 1996. Internet jeszcze właściwie nie istniał. Większość ludzi na świecie nie wiedziała, czym jest e-mail, a człowiek, który rządził jednym z najbiedniejszych krajów świata, już zrozumiał, że klawiatura jest groźniejsza niż czołg. Później, już w latach dwutysięcznych, wyraził się jeszcze mocniej. Według badaczy z organizacji C4ADS, powołującej się na materiały południowokoreańskiego wywiadu, Kim Dzong Il stwierdził, że ataki cybernetyczne są jak bomby atomowe. "Wojna wygrywana jest przez tego, kto w czasie pokoju zyskuje większy dostęp do wojskowo-technicznych informacji przeciwnika". Nie żartował, budował armię. W 1998 roku powstało Biuro 121 – jednostka cyberwojny w ramach Głównego Zarządu Wywiadu (GRU). To nie odpowiednik jakiegoś działu IT. To pełnoprawna struktura wojskowa, podległa Trzeciemu Biuru Technicznego Nadzoru – głównemu organowi odpowiedzialnemu za wszystkie operacje cybernetyczne KRLD. Według wczesnych szacunków, w Biurze 121 pracowało około 1800 specjalistów. Do 2014 roku południowokoreańska agencja NIS zwiększyła tę liczbę do 5900. Teraz, według Wall Street Journal, mowa o 8000 etatowych hakerach, zorganizowanych w jednostki wojskowe. Ale skąd w kraju bez internetu biorą się hakerzy? Odpowiedź jest prosta i jednocześnie przerażająca. Hoduje się ich od dzieciństwa. W całej Korei Północnej działa system selekcji, zbudowany jeszcze w latach dziewięćdziesiątych. W szkołach średnich i wyższych dla uzdolnionych dzieci zainstalowane są komputery. Według relacji uciekinierów, jeszcze niedawno były to maszyny klasy Pentium 4. Nauczyciele śledzą dzieci z wybitnymi zdolnościami matematycznymi. Najlepszych wysyła się na specjalistyczne uczelnie. Główną z nich jest Kolegium Mirim, znane też jako Uniwersytet Automatyzacji w Pjongjangu. Co roku wypuszcza około 100 hakerów. Czang Sje-jool, uciekinier, który studiował w Mirim, a potem uciekł do Korei Południowej, opowiedział, jak wyglądał proces nauczania: sześć par po 90 minut każdego dnia. Języki programowania od C do asemblera, systemy operacyjne Linux i Windows. Ogromna ilość czasu poświęcano na analizę architektury Microsoft Windows: jak jest zbudowana, gdzie są luki, jak się do niej włamać. Pięć lat przygotowań, bez wolnego czasu w tradycyjnym rozumieniu, bez darmowego internetu, tylko nauka i praktyka. Obok Mirim działają Uniwersytet Kim Ir Sena, Politechnika Kim Czeka i Uniwersytet Morangbong. Tam trafiają najzdolniejsi. Kim Hyn-gwan, były profesor informatyki, który przez 19 lat wykładał na uczelniach Hamhyng i przygotowywał przyszłych cyberżołnierzy, po ucieczce do Korei Południowej opowiedział, że jego najlepsi studenci wyjeżdżali na staże do Chin, w szczególności do
Atak na Sony Pictures: Zemsta za komedię
Poranek 24 listopada 2014 roku na zawsze wrył się w pamięć pracowników Sony Pictures Entertainment. Ludzie przyszli do pracy i odkryli, że ich komputery są martwe. Na ekranach – obraz czerwonego szkieletu i napis od grupy nazywającej siebie Guardians of Peace ("Strażnicy Pokoju"). Tekst był prosty: "Zabraliśmy wszystko. Jeśli nie spełnicie naszych żądań, opublikujemy to". To nie było przesadzenie. Hakerzy działali w sieci Sony przez co najmniej 2 miesiące, według niektórych danych, nawet rok. W tym czasie skopiowali ponad 100 TB danych: wewnętrzne e-maile kierownictwa, dokumenty finansowe, dane osobowe pracowników (numery ubezpieczenia społecznego, dane medyczne, pensje), jeszcze nieopublikowane filmy, scenariusze przyszłych projektów. A potem aktywowali złośliwe oprogramowanie, które zniszczyło około 70% infrastruktury serwerowej firmy. Dyski twarde zostały nadpisane, sektory rozruchowe wymazane, komputery zamieniły się w "cegły". Przyczyna: komedia. Film "Wywiad" z Sethem Rogenem i Jamesem Franco. Satyra, w której dwóch dziennikarzy jest werbowanych przez CIA, aby zabić Kim Dzong Una. Film, o którym prawdopodobnie nikt by nie pamiętał po pół roku, gdyby nie Lazarus. "Strażnicy Pokoju" zażądali od Sony anulowania premiery, a potem zaczęli grozić atakami terrorystycznymi w kinach, które pokażą film. Największe amerykańskie sieci zrezygnowały z dystrybucji. Sony najpierw anulowało premierę, potem, pod presją opinii publicznej, mimo wszystko wydało film w ograniczonej dystrybucji i online. 19 grudnia 2014 roku FBI oficjalnie oświadczyło: "Za atakiem stoi Korea Północna". Prezydent Obama wystąpił publicznie, nazywając włamanie "nie aktem wojny, ale poważnym uderzeniem w bezpieczeństwo narodowe". Stany Zjednoczone wprowadziły dodatkowe sankcje. A ja, gdy analizowałem ten przypadek, myślałem o tym: państwo zaatakowało prywatną firmę z powodu komedii. Nie z powodu danych wywiadowczych, nie z powodu tajemnic wojskowych, a z powodu żartu. I wyrządziło szkody, które Sony wyceniło na 15 milionów dolarów tylko w pierwszym kwartale, nie licząc strat reputacyjnych i pozwów od pracowników, których dane wyciekły. Ale najbardziej wymowne jest to, że Lazarus wykorzystał to włamanie jako trening: przetestował metody, sprawdził infrastrukturę, zbadał reakcję. Bo następny cel był zupełnie innego kalibru. Nie firma rozrywkowa, a Bank Centralny.