Förhandsvisning
Inledning: Länder utan Internet som Hackar Världen
Föreställ dig ett land där 25 miljoner människor aldrig ens har sett internet. Låter som science fiction, va? Men det är verkligheten i Nordkorea. Och ur den verkligheten kommer en grupp på runt 8 000 hackare. De vet inte vad YouTube är, har aldrig öppnat Google, men under de senaste tio åren har de lyckats stjäla över 7 miljarder dollar. Det är mer pengar än vad vissa länder tjänar på ett helt år. Och varje stulen krona, eller snarare varje stulen bitcoin, förvandlas i princip till en kärnvapenmissil. Jag heter Mister Darkweb, och idag ska vi snacka om Lazarus – en riktig hackararmé som kanske just nu befinner sig i din digitala plånbok.
Ursprunget: Ett Oväntat Fynd och en Varning
Min resa in i det här började helt slumpmässigt i slutet av 2024. Jag satt och grävde i läckta filer från ett darknet-forum, försökte förstå mig på finansiella scheman i Sydostasien. Ganska vanlig dag på jobbet, liksom. Men bland alla filer hittade jag en liten textfil. Skriven på knackig engelska, ingen rubrik, ingen signatur. Bara en lista på kryptoplånböcker, datum, summor och längst ner en liten notering: "Rör aldrig dessa adresser. Det här är inte människor, det är staten." Jag fattade ingenting då, tänkte att det var någon som var lite väl paranoid eller bara skojade. Sparade filen och glömde bort den. Men så, två månader senare, i februari 2025, hände något som fick den där meningen att sluta kännas som ett skämt. Från en av världens största kryptobörser försvann plötsligt 155 miljarder dollar över en natt. Inga hack, ingen phishing, inget fel från användarens sida. Och när FBI pekade ut gärningsmännen – Lazarus Group – mindes jag filen. Kollade adresserna mot deras lista. Fyra av femtiotvå matchade. Där började mardrömmen. Ju djupare jag grävde, desto skrämmande blev bilden. Lazarus är inte bara ett gäng hackare i en källare. Det är ett helt lands cyberförsvarsmakt – Nordkoreas. Landet som officiellt nekar till allt, men som bygger hela sin raketprogram på deras stulna pengar. USA:s justitiedepartement kallar dem ett verktyg för att undergräva global säkerhet och generera illegala intäkter. Bakom den torra formuleringen döljer sig en verklighet som får det att vända sig i magen. Lazarus ligger bakom attacken mot Sony Pictures 2014, bankrånet i Bangladesh 2016, WannaCry-viruset som lamslog sjukhus i 150 länder, och mängder av kryptostölder värda över 7 miljarder dollar. Jag har spenderat månader på det här, läst FBI-rapporter, FN-dokument, analyser från säkerhetsfirmor, vittnesmål från avhoppare. Och ju mer jag läste, desto tydligare blev det: inget land i historien har någonsin byggt sin ekonomi på hackarattacker. Förutom Nordkorea. Det här är historien om statlig terrorism maskerad som cyberbrottslighet. Om ett land som förvandlat sina bästa matematiker till tjuvar. Om människor som väljs ut som barn, tränas som elitsoldater och sedan stjäl miljarder utan att få behålla en enda krona. Och vi börjar inte från början, utan från slutet – det största kryptorånet någonsin.
Det Största Kryptorånet: BYBIT-hacket
21 februari 2025, en fredag i Dubai. På BYBIT, en av världens största kryptobörser, pågår en rutinoperation. Pengar flyttas från ett kallt valv till ett varmt. Tre signaturer krävs, allt enligt protokollet. VD:n Ben Zhou ser skärmen. Allt ser normalt ut. Han trycker "Bekräfta". Två kollegor gör detsamma. Fyrtio minuter senare är 401 347 Ethereum, nästan 1,5 miljarder dollar, borta. Inte till fel adress, inte till fel plånbok, utan helt enkelt borta. Det här var ingen miss av systemet, inga stulna lösenord, ingen phishing. De som utförde operationen gjorde precis vad de skulle. Och det var precis vad angriparna räknat med. Hacket skedde inte genom att bryta sig in i BYBIT:s system. Istället komprometterade Lazarus datorn hos en utvecklare på Safe Wallet, plattformen som BYBIT använde för sina transaktioner. De kom in via social ingenjörskonst – ett samtal, ett mail, en falsk intervju. Metoden är hemlig, men de kom åt utvecklarens arbetsstation och stal temporära inloggningsnycklar (session tokens). Detta gjorde att de kunde kringgå tvåfaktorsautentisering. De agerade i samma tidsrymd som utvecklaren för att inte väcka misstankar. Två dagar före attacken, den 19 februari, bytte de ut en enda fil – en del av JavaScript-koden som visade transaktioner. Denna fil laddades upp via Safe Wallets officiella domän. Koden fungerade perfekt för alla utom BYBIT. Hur kunde 1,5 miljarder försvinna utan att någon märkte det? Det låter otroligt, men det är så det fungerar. När man är van att trycka "Bekräfta" dagligen, och allt alltid fungerar, så kollar man inte varje pixel på skärmen. Det är inte slarv, det är tillit till systemet. Lazarus hackade inte själva systemet, de hackade förtroendet. Den manipulerade koden visade en sak för BYBIT:s personal, men skickade iväg en helt annan transaktion. Deras signaturer på hårdvaruplånböckerna blev en "blind signatur" – de godkände något de inte såg. Tio timmar efter attacken började paniken. 350 000 användare ville ta ut sina pengar. Kryptomarknaden skakade. Ethereum-priset föll. De stulna pengarna var redan i rörelse, en maskin som finslipats i åratal. Under de första 48 timmarna passerade över 160 miljoner dollar genom dussintals mellanliggande plånböcker, konverterades till andra kryptovalutor, och skickades genom decentraliserade börser och cross-chain-broar. Varje steg automatiserat, varje plånbok engångsbruk. Snart var 200 miljoner spridda, och inom fem dagar var 400 miljoner borta. Den 20 mars hade 86% av stöldgodset konverterats till Bitcoin och spridits över tusentals adresser. Pengarna löstes upp snabbare än myndigheterna kunde reagera. Den 26 februari kom FBI:s uttalande: "Gärningsmannen identifierad: Lazarus Group, även känd som APT38, Nordkorea." De publicerade 51 Ethereum-adresser kopplade till penningtvätten och bad alla kryptoplattformar att blockera transaktioner. Men då var hundratals miljoner redan utom räckhåll. Jag följde efterdyningarna av attacken, inte bara via nyhetsrubriker, utan genom folk på
Finansiering av Raketprogrammet: Pengar från Cyberrymden
Enligt en FN-expertgrupp som upplöstes 2024, kommer upp till 40% av Nordkoreas kärnvapen- och raketprogram från cyberstölder. Fyrtio procent! Inte från kolhandel, vapenexport eller allierades bistånd, utan från stulen kryptovaluta. Det är inte journalistisk gissning, det är ett utlåtande från en internationell kommission. De 1,5 miljarderna från BYBIT är inte ett brott för personlig vinning, det är en post i en statlig budget som officiellt inte existerar. Enbart under 2025 stal hackare kopplade till Nordkorea över 2 miljarder dollar, en ökning med 51% från året innan. Sedan 2019 till slutet av 2025 har de stulit totalt 6,75 miljarder dollar. Det är 76% av alla kryptostölder i världen. Tre fjärdedelar – ett land, en operatör. Säkerhetsanalytikern Elliptic formulerade det så här: "Lazarus Group är inte en statligt sponsrad grupp i vanlig mening. Lazarus är Nordkorea, och Nordkorea är Lazarus. Det finns ingen gräns mellan hackarna och regimen, ingen lucka. Det är en enda organism." Och här börjar den mörkaste delen av historien. För att förstå hur en grupp från ett av världens fattigaste och mest isolerade länder lärde sig stjäla miljarder, måste vi gå tillbaka 20 år, till en plats nästan ingen känner till. Där barn väljs ut i skolan, inte för sport eller musik, utan för deras förmåga att lösa matematiska problem snabbast. Och där dessa barn blir soldater som aldrig tar i ett vapen, men orsakar mer skada än någon armé.
Födelsen av ett Cyberförsvar: Från Kim Il-sung till Byrå 121
År 1996 besökte Nordkoreas dåvarande ledare Kim Jong-il militären vid frontlinjen. Enligt sydkoreanska underrättelserapporter ska han ha sagt något som kom att definiera landets historia de kommande 30 åren: "Alla framtida krig kommer att vara datorkrig." 1996. Internet var knappt existerande. De flesta på jorden visste inte vad e-post var, men mannen som styrde ett av världens fattigaste länder insåg att ett tangentbord var farligare än en stridsvagn. Senare, på 2000-talet, blev han ännu tydligare. Enligt forskare från C4ADS, som hänvisar till sydkoreanska underrättelsematerial, sa Kim Jong-il att cyberattacker var som atombomber. "Kriget vinns av den som i fredstid får mest tillgång till fiendens militärtekniska information." Han skämtade inte, han byggde en armé. 1998 skapades Byrå 121 – en cyberkrigsförbandsenhet inom den militära underrättelsetjänsten (GRU). Detta är inte som en IT-avdelning. Det är en fullfjädrad militär struktur, underställd det Tredje Tekniska Övervakningsbyrån – Nordkoreas högsta organ för alla cyberoperationer. Tidiga uppskattningar visade att Byrå 121 hade cirka 1 800 specialister. År 2014 ökade Sydkoreas NIS siffran till 5 900. Idag, enligt Wall Street Journal, handlar det om 8 000 anställda hackare, organiserade i militära enheter. Men hur får man fram hackare i ett land utan internet? Svaret är enkelt och skrämmande: man odlar dem från barnsben. Över hela Nordkorea finns ett system för urval, uppbyggt på 90-talet. I särskilda skolor för begåvade elever finns datorer. Enligt avhoppare var det nyligen datorer av typen Pentium 4. Lärarna identifierar barn med exceptionella matematiska förmågor. De bästa skickas till specialiserade universitet. Det främsta är Mirim College, även känt som Pyongyang University of Automation. Varje år producerar det cirka 100 hackare. Chang Seyul, en avhoppare som studerade vid Mirim och sedan flydde till Sydkorea, beskrev utbildningen: sex lektioner om 90 minuter varje dag. Programmeringsspråk från C till assembler, operativsystemen Linux och Windows. Mycket tid ägnades åt att analysera Microsoft Windows arkitektur: hur det fungerar, var sårbarheterna finns, hur man tar sig in. Fem års förberedelse, utan helger i vanlig mening, utan fritt internet, bara studier och praktik. Bredvid Mirim finns Kim Il-sung University, Kim Chaek University of Technology och Moranbong University. Dit skickas de mest lovande. Kim Hyung-gwan, en före detta professor i datavetenskap som undervisade i 19 år och förberedde framtida cyberkrigare, berättade efter sin flykt till Sydkorea att hans bästa studenter åkte på praktik i Kina, särskilt till staden Shenyang, där ett bulvanföretag kallat Chosen Expo Joint Venture opererade. Detta var en täckmantel genom vilken operatörerna genomförde sina cyberoperationer. Det var från detta företag som FBI senare identifierade Park Jin-hyok, den första Lazarus-hackaren som åtalades. Men det som verkligen slog mig när jag samlade materialet var detta: dessa människor är inte
Attacken mot Sony Pictures: Hämnden för en Komedi
Morgonen den 24 november 2014 blev en mardröm för Sony Pictures Entertainment. De kom till jobbet och upptäckte att deras datorer var döda. På skärmarna visades en bild av ett rött skelett och ett meddelande från en grupp som kallade sig Guardians of Peace ("Fredens Väktare"). Texten var enkel: "Vi har tagit allt. Om ni inte uppfyller våra krav, publicerar vi det." Det var ingen överdrift. Hackarna hade varit inne i Sonys nätverk i minst två månader, enligt vissa uppgifter upp till ett år. Under tiden hade de kopierat över 100 TB data: interna mejl från ledningen, finansiella dokument, personuppgifter om anställda (personnummer, medicinska journaler, löner), filmer som ännu inte släppts, manus till framtida projekt. Sedan aktiverade de ett skadeprogram som förstörde cirka 70% av företagets serverinfrastruktur. Hårddiskar raderades, boot records förstördes, datorerna blev "tegelstenar". Anledningen? En komedi. Filmen "The Interview" med Seth Rogen och James Franco. En satir där två journalister rekryteras av CIA för att mörda Kim Jong-un. En film som knappt någon skulle minnas sex månader senare om det inte vore för Lazarus. "Fredens Väktare" krävde att Sony skulle ställa in premiären och hotade sedan med terrorattacker mot biografer som visade filmen. De största amerikanska kedjorna vägrade visa den. Sony ställde först in premiären, men efter påtryckningar från allmänheten släppte de filmen i begränsad distribution och online. Den 19 december 2014 meddelade FBI officiellt: "Nordkorea ligger bakom attacken." President Obama höll ett tal och kallade hacket "inte en krigshandling, men ett allvarligt slag mot den nationella säkerheten." USA införde ytterligare sanktioner. När jag studerade fallet tänkte jag: en stat attackerar ett privat företag på grund av en komedi. Inte på grund av underrättelser, inte på grund av militära hemligheter, utan på grund av ett skämt. Och orsakade skador som Sony uppskattade till 15 miljoner dollar bara under första kvartalet, exklusive ryktesskador och stämningar från anställda vars data läckte. Men det mest slående var att Lazarus använde detta hack som en träning: testade metoder, kontrollerade infrastruktur, studerade reaktioner. För nästa mål var av en helt annan kaliber. Inte ett underhållningsföretag, utan en centralbank.