Фрагмент самарі
Лазарус: Примарна Армія Північної Кореї, Що Краде Мільярди
Привіт усім! Сьогодні поговоримо про щось справді захопливе й водночас моторошне. Уявіть собі країну, де 25 мільйонів людей ніколи не бачили інтернету. Звучить як сценарій фантастичного фільму, правда? Але це реальність. І саме в цій країні працює близько 8 тисяч хакерів. Вони не знають, що таке YouTube, ніколи не відкривали Google, але за останні 10 років вони зуміли вкрасти понад 7 мільярдів доларів! Це сума, яка перевищує ВВП деяких держав. І кожен вкрадений цент, по суті, перетворюється на ядерну боєголовку. Мене звати Містер Дарквеб, і сьогодні я розповім вам про Лазарус — справжню хакерську армію, яка прямо зараз може бути всередині вашого гаманця.
Початок: Випадкова знахідка та тривожний знак
Ця історія почалася для мене зовсім випадково наприкінці 2024 року. Копався я в витоках з одного з великих тіньових форумів, збираючи інформацію про фінансові схеми в Південно-Східній Азії. Рутина, нічого особливого. Але серед десятків файлів мені трапився один, на який я спочатку не звернув уваги. Це був невеликий текстовий документ, написаний ламаною англійською, без заголовка та підпису. Всередині — список гаманців, дати, суми переказів і, в самому кінці, приписка, яку можна перекласти приблизно так: "Ніколи не чіпай ці адреси. Це не люди, це держава". Я тоді не зрозумів, про що йдеться. Подумав, чиясь параноя або жарт. Зберіг файл і забув. Але через два місяці, у лютому 2025 року, сталася подія, після якої ця фраза перестала здаватися жартом. З найбільшої криптобіржі світу за одну ніч зникли 155 мільярдів доларів. Без злому паролів, без фішингу, без єдиної помилки з боку жертви. І коли ФБР назвало винних — Lazarus Group — я згадав про той документ. Відкрив його, порівняв адреси з тими, що опублікувало бюро. Чотири з п'ятдесяти одного збіглися. З цього моменту я почав копати, і чим глибше занурювався, тим страшнішою ставала картина. Lazarus — це не просто хакерське угруповання в звичному розумінні. Це не група ентузіастів у капюшонах, що сидять у підвалі, і не аноніми з чату, які вирішили підзаробити. Це кібервійсько цілої держави — Північної Кореї. Найбільш закритої країни планети, яка офіційно заперечує їхнє існування, але при цьому будує на їхній роботі всю свою ракетну програму. Міністерство юстиції США називає Lazarus інструментом підриву глобальної кібербезпеки та генерації нелегального доходу на порушення міжнародних санкцій. За цією сухою формулюванням ховається реальність, від якої стає не по собі. Lazarus стоїть за атакою на Sony Pictures у 2014 році, за пограбуванням центрального банку Бангладеш у 2016 році, за вірусом WannaCry, який у 2017 році паралізував лікарні у 150 країнах світу, і за десятками криптокрадіжок, загальна сума яких перевищує 7 мільярдів доларів. Я витратив на це розслідування кілька місяців, перелопатив сотні документів: обвинувальні висновки Мін'юсту, звіти ФБР, аналітику блокчейн-компаній Chainalysis та Elliptic, свідчення перебіжчиків з КНДР, матеріали групи експертів ООН, а також закриті гілки на тіньових форумах. І чим більше я читав, тим чіткіше розумів: те, що робить Lazarus, не має аналогів. В історії не було нічого подібного. Жодна країна світу ніколи не будувала свою економіку на хакерських атаках. А Північна Корея побудувала. Це історія про державний тероризм, замаскований під кіберзлочинність. Про країну, яка перетворила своїх найкращих математиків на злодіїв. Про людей, яких відбирають у школі, тренують як спецназ, відправляють за кордон, і які крадуть мільярди, не маючи права залишити собі ані копійки. І почну я не спочатку, а з кінця — з найбільшого пограбування в історії криптовалют. Тому що саме воно показує, на що перетворилася ця машина і чому зупинити її не може ніхто.
Найбільше пограбування в історії криптовалют: Злам BYBIT
21 лютого 2025 року, п'ятниця. Дубай. Офіс BYBIT — однієї з найбільших криптовалютних бірж світу. Звичайний робочий день. Рутинна операція: переведення коштів з холодного гаманця в гарячий. Процедура, яку співробітники виконували десятки разів. Три підписи з кількох підтверджень. Все за протоколом. На екрані — стандартний інтерфейс Safe Wallet, мультипідписна платформа, якою користуються тисячі компаній по всьому світу. Сума, адреса отримувача, кнопка підтвердження. Генеральний директор Бен Чжоу подивився на екран. Все виглядало ідеально. Він натиснув "Підтвердити". Ще два співробітники зробили те саме. Через 40 хвилин 401 347 одиниць Ethereum, майже півтора мільярда доларів, зникли. Не на ту адресу, не в той гаманець, не в ту країну. Важливо зрозуміти: ніхто не припустився помилки. Система не дала збою. Паролі не були вкрадені. Співробітники не клікнули на фішингове посилання. Вони зробили рівно те, що повинні були зробити. І саме на це розраховували ті, хто стояв по той бік екрану. Що сталося насправді? За кілька днів до атаки хакери скомпрометували комп'ютер одного з розробників Safe Wallet — не BYBIT, а самої платформи, через яку проходило підтвердження. Вони не ламали захист в лоб, не підбирали паролі, не шукали вразливості в коді. Вони проникли через людину. Соціальна інженерія: дзвінок, лист, запрошення на конференцію або фальшиве співбесіда. Точний метод досі засекречений, але, за даними Safe Ecosystem Foundation, компрометація сталася через робочу станцію розробника. Отримавши доступ до його машини, хакери вкрали сесійні токени — тимчасові ключі, що дозволяють входити в хмарний сервіс компанії без повторного введення пароля. Так вони обійшли двофакторну авторизацію. Вони розрахували час, працювали в ті ж години, що й розробник, щоб не викликати підозр у систем моніторингу. А потім, 19 лютого, за 2 дні до атаки, підмінили один-єдиний файл — фрагмент JavaScript-коду, що відповідає за відображення транзакцій. Цей файл потрапив на сервер через офіційний домен Safe Wallet. Він працював ідеально для всіх користувачів, крім одного. Крім BYBIT. Здавалося б, півтора мільярда, і ніхто не помітив у момент переказу? Звучить як поганий сценарій, але саме так це і працює. Коли ти звик натискати "Підтвердити" щодня, і все завжди проходить штатно, ти не перевіряєш кожен піксель на екрані. Це не халатність, це довіра до системи, якою користуються тисячі компаній. І Lazarus не зламав систему, він зламав цю довіру. Підмінений код показував співробітникам BYBIT одне, а відправляв зовсім інше. Їхні підписи на апаратних гаманцях перетворилися на те, що фахівці з безпеки потім назвали "сліпим підписом". Вони підтверджували транзакцію, яку не бачили. Через 10 годин після злому 350 000 користувачів BYBIT подали заявки на виведення коштів. Паніка. Біржа захиталася. Ціна Ethereum впала. Ринок завмер, а вкрадені гроші вже рухалися. Конвеєр, відточений роками. У перші 48 годин понад 160 мільйонів доларів були пропущені через десятки проміжних гаманців, конвертовані
Фінансування ракетної програми: Гроші з кіберпростору
За оцінками розформованої у 2024 році групи експертів ООН, до 40% фінансування ядерної та ракетної програм Північної Кореї надходить із кіберкрадіжок. 40% — не з торгівлі вугіллям, не з продажу зброї, не з допомоги союзників, а з вкраденої криптовалюти. Це не журналістська гіпотеза. Це висновок міжнародної комісії, що працювала під мандатом Ради Безпеки. Вкрадені з BYBIT півтора мільярда — це не злочин заради наживи. Це рядок у державному бюджеті, якого офіційно не існує. Тільки у 2025 році, за даними аналітичної платформи Chainalysis, хакери, пов'язані з КНДР, вкрали понад 2 мільярди доларів, на 51% більше, ніж роком раніше. Сумарно з 2019 по кінець 2025 — 6.75 мільярдів. Це 76% від усіх криптовалютних крадіжок у світі. Три чверті — одна країна, один оператор. Аналітична компанія Elliptic, що розслідувала злом, сформулювала це так: "Lazarus Group — це не спонсорована державою угруповання у звичному розумінні. Lazarus — це і є Північна Корея, а Північна Корея — це і є Lazarus. Немає межі між хакерами та режимом, немає зазору. Це єдиний організм". І ось тут починається найчорніша частина цієї історії. Тому що, щоб зрозуміти, як група з однієї з найбідніших та найізольованіших країн світу навчилася красти мільярди, потрібно повернутися на 20 років назад, у місце, про яке майже ніхто не знає. Туди, де дітей відбирають у школі. Не за спортивні досягнення, не за талант до музики, а за здатність вирішувати математичні задачі швидше за всіх. І де з цих дітей роблять солдатів, які ніколи не візьмуть до рук зброю, але завдадуть більше шкоди, ніж будь-яка армія.
Народження кібервійська: Від Кім Ір Сена до Бюро 121
У 1996 році Кім Чен Ір, тоді ще чинний лідер Північної Кореї, приїхав з візитом до військових на передову лінію. За свідченнями, що збереглися в південнокорейських розвідувальних звітах, він сказав фразу, яка визначила наступні 30 років історії його країни: "Усі війни майбутнього будуть комп'ютерними війнами". 1996 рік. Інтернет ще толком не існував. Більшість людей на планеті не знали, що таке електронна пошта, а людина, яка керувала однією з найбідніших країн світу, вже зрозуміла, що клавіатура небезпечніша за танк. Пізніше, вже у двотисячних, він висловився ще жорсткіше. За даними дослідників з організації C4ADS, які посилаються на південнокорейські розвідувальні матеріали, Кім Чен Ір заявив, що кібератаки — це як атомні бомби. "Війна виграється тим, хто в мирний час отримує більше доступу до військово-технічної інформації противника". Він не жартував, він будував армію. У 1998 році було створено Бюро 121 — підрозділ кібервійни всередині Головного розвідувального управління (ГРУ). Це не аналог якогось IT-відділу. Це повноцінна військова структура, підпорядкована Третьому технічному бюро спостереження — головному органу, що відповідає за всі кібероперації КНДР. За ранніми оцінками, у Бюро 121 працювали близько 1800 фахівців. До 2014 року південнокорейське агентство NIS збільшило цю цифру до 5900. Зараз, за даними Wall Street Journal, йдеться про 8000 штатних хакерів, організованих у військові підрозділи. Але звідки в країні без інтернету беруться хакери? Відповідь проста і водночас лякає. Їх вирощують з дитинства. По всій Північній Кореї працює система відбору, вибудувана ще в дев'яностих. У середніх та старших школах для обдарованих встановлені комп'ютери. За свідченнями перебіжчиків, ще недавно це були машини рівня Pentium 4. Вчителі відстежують дітей з видатними математичними здібностями. Найкращих відправляють до спеціалізованих вишів. Головний з них — Коледж Мірім, він же Пхеньянський університет автоматизації. Щороку він випускає близько 100 хакерів. Чан Сеюль, перебіжчик, який навчався в Мірім і пізніше втік до Південної Кореї, розповів, як виглядав навчальний процес: шість пар по 90 хвилин щодня. Мови програмування від C до ассемблера, операційні системи Linux та Windows. Величезна кількість часу йшла на розбір архітектури Microsoft Windows: як вона влаштована, де вразливості, як у неї проникнути. П'ять років підготовки, без вихідних у звичному розумінні, без вільного інтернету, тільки навчання та практика. Поруч з Мірім працюють Університет Кім Ір Сена, Кім Чхекський технологічний університет та Університет Моранбон. Туди відправляють найздібніших. Кім Хингван, колишній професор інформатики, який 19 років викладав у хамхінських вишах і готував майбутніх кібервоїнів, після втечі до Південної Кореї розповів, що його найкращі студенти їхали на стажування до Китаю, зокрема до міста Шеньян, де працювала підставна компанія під назвою Chosen Expo Joint Venture. Прикриття, через яке оперативники вели кібероперації. Саме з цієї компанії згодом
Атака на Sony Pictures: Помста за комедію
Ранок 24 листопада 2014 року назавжди врізався в пам'ять співробітників Sony Pictures Entertainment. Люди прийшли на роботу і виявили, що їхні комп'ютери мертві. На екранах — зображення червоного скелета і напис від групи, що назвала себе Guardians of Peace («Стражі миру»). Текст був простий: "Ми забрали все. Якщо ви не виконаєте наші вимоги, ми це опублікуємо". Це не було перебільшенням. Хакері провели всередині мережі Sony щонайменше 2 місяці, за деякими даними, до року. За цей час вони скопіювали понад 100 ТБ даних: внутрішні листи керівництва, фінансові документи, персональні дані співробітників (номери соціального страхування, медичні записи, зарплати), ще не вийшли в прокат фільми, сценарії майбутніх проєктів. А потім активували шкідливу програму, яка знищила близько 70% серверної інфраструктури компанії. Жорсткі диски були перезаписані, завантажувальні записи стерті, комп'ютери перетворилися на "цеглини". Причина: комедія. Фільм "Інтерв'ю" з Сетом Рогеном та Джеймсом Франко. Сатира, в якій двох журналістів вербує ЦРУ, щоб убити Кім Чен Ина. Фільм, який навряд чи хтось пам'ятав би через пів року, якби не Lazarus. "Стражі миру" висунули вимогу до Sony скасувати прем'єру, а потім почали погрожувати терактами в кінотеатрах, які покажуть фільм. Найбільші американські мережі відмовилися від прокату. Sony спочатку скасувала прем'єру, потім, під тиском громадськості, все ж випустила фільм в обмеженому прокаті та онлайн. 19 грудня 2014 року ФБР офіційно заявило: "За атакою стоїть Північна Корея". Президент Обама виступив публічно, назвавши злом "не актом війни, але серйозним ударом по національній безпеці". Сполучені Штати ввели додаткові санкції. А я, коли вивчав цей кейс, думав ось про що: держава атакувала приватну компанію через комедію. Не через розвіддані, не через військові секрети, а через жарт. І завдала збитків, які Sony оцінила в 15 мільйонів доларів тільки в першому кварталі, не враховуючи репутаційних втрат та судових позовів від співробітників, чиї дані витекли. Але найпоказовіше, що Lazarus використав цей злом як тренування: обкатував методи, перевіряв інфраструктуру, вивчав реакцію. Тому що наступна ціль була зовсім іншого калібру. Не розважальна компанія, а Центральний банк.