摘要预览
揭秘朝鲜的幽灵军队：拉撒路盗窃数十亿
想象一下，一个国家，2500万人从未见过互联网。听起来像科幻电影里的情节，对吧？但这就是现实。而在这个国家里，大约有8000名黑客在运作。他们不知道什么是YouTube，从未打开过Google，但过去十年里，他们竟然偷走了超过70亿美元。这笔钱比一些国家的GDP还要高。而且，每一分被偷走的钱，本质上都变成了核弹头。我叫米斯特·达克韦布，今天我就来聊聊“拉撒路”——这支可能正潜伏在你钱包里的真正黑客军队。
缘起：一次偶然的发现和警示
我的故事，或者说这次调查的起点，纯属偶然，发生在2024年底。当时我正在一个大型暗网论坛里挖掘信息，搜集东南亚金融诈骗的套路。 rutina，没什么特别的。但在一堆文件里，我发现了一个我起初没太在意的小文本文件。它用磕磕巴巴的英文写着，没有标题，没有署名。里面是一串钱包地址、日期、转账金额，最后还有一句加了标注的话，大致意思是：“永远别碰这些地址。它们不是人，是国家。” 当时我没太明白，以为是某个人的偏执或者恶作剧。随手保存了，也就忘了。但两个月后，也就是2025年2月，一件大事发生，让我觉得那句话一点都不好笑。全球最大的加密货币交易所之一，一夜之间蒸发了1550亿美元。没有密码被盗，没有钓鱼攻击，没有用户任何一丝失误。当FBI点名“拉撒路集团”是幕后黑手时，我猛地想起了那个文件。我翻出来一看，比对了一下FBI公布的地址，51个地址里，居然有4个吻合。 从那一刻起，我开始深挖。越挖越觉得背后令人不寒而栗。拉撒路，绝不是我们通常理解的那种黑客组织。不是一群躲在地下室的帽衫客，也不是一群想赚点外快的匿名网友。他们是一个国家——朝鲜——的网络部队。这个星球上最封闭的国家，官方一口咬定他们不存在，但却靠着这群人的“业绩”，支撑着整个国家的导弹项目。 美国司法部管他们叫“破坏全球网络安全、违反对国际制裁的非法收入的工具”。这句话背后，是让人脊背发凉的现实。拉撒路是2014年索尼影业被攻击事件的元凶，是2016年孟加拉国中央银行被盗案的罪魁，是2017年瘫痪全球150个国家医院的WannaCry病毒的制造者，更是几十起加密货币盗窃案的主角，涉案金额高达70多亿美元。 我花了几个月时间，查阅了上百份文件：美国司法部的起诉书、FBI的报告、Chainalysis和Elliptic等区块链分析公司的报告、朝鲜叛逃者的证词、联合国专家组的材料，还有暗网论坛里的隐秘讨论。读得越多，我越清晰地意识到：拉撒路所做的事情，是史无前例的。历史上从未有过一个国家，把整个国家经济建立在黑客攻击之上。而朝鲜，就这么做了。 这是一个关于国家恐怖主义披着网络犯罪外衣的故事。一个把顶尖数学家变成窃贼的国家。一群从学校里被挑出来，像特种兵一样训练，派往海外，窃取数十亿美元却连一分钱都不能留给自己的人。而我，不打算从头讲起，而是从最后——也是加密货币历史上最大的一场盗窃案开始。因为那一场，最能说明这台机器变成了什么样子，以及为什么没有人能阻止它。
最大盗窃案：BYBIT交易所的覆灭
2025年2月21日，星期五。迪拜。BYBIT，全球最大的加密货币交易所之一的办公室。一个再普通不过的工作日。例行的操作：从冷钱包向热钱包转移资金。这个流程，员工们已经执行过无数次了。需要多重签名中的三个确认。一切都按规程进行。 屏幕上显示的是Safe Wallet的标准界面，一个全球数千家公司都在使用的多重签名平台。金额、接收地址、确认按钮。BYBIT的CEO本·周（Ben Zhou）看着屏幕，一切看起来完美无瑕。他按下了“确认”。另外两名员工也做了同样的操作。40分钟后，401,347枚以太坊，近15亿美元，消失了。不是去错了地址，不是进了错的钱包，也不是去了错的国家。 关键在于：没有人犯错。系统没有宕机。密码没有被盗。员工也没有点开钓鱼链接。他们做的，正是他们应该做的。而这，恰恰是屏幕另一端那些人算计好的。 到底发生了什么？攻击发生前几天，黑客就已经攻陷了Safe Wallet（注意，不是BYBIT，是那个提供多签服务的平台）的一名开发者的电脑。他们没有硬碰硬地破解防火墙，没有尝试破解密码，也没有寻找代码漏洞。他们是“攻心”——通过人。这是一个典型的社会工程学攻击：一个电话、一封邮件、一次会议邀请、或者一次虚假的面试。具体方法至今仍是机密，但根据Safe Ecosystem Foundation的说法，这次入侵是通过开发者的工作站完成的。 一旦获取了开发者的电脑访问权限，黑客就窃取了会话令牌（Session Tokens）。这些临时的密钥允许用户在不重新输入密码的情况下登录公司云服务。这样，他们就绕过了双因素认证。他们精确计算了时间，在开发者工作的时间段内操作，以避免引起监控系统的怀疑。然后，在2月19日，也就是攻击发生的两天前，他们替换了一个极其微小的文件——一个负责显示交易信息的JavaScript代码片段。这个文件通过Safe Wallet的官方域名被推送到了服务器上。 这个被篡改的文件对所有用户都完美工作，除了一个——BYBIT。你可能会问，15亿美元的交易，难道没人注意到吗？这听起来像个糟糕的剧本，但这就是现实。当你习惯了每天点击“确认”，而且一切都正常进行时，你不会去仔细检查屏幕上的每一个像素。这不是疏忽，这是对一个被成千上万家公司使用的系统的信任。而拉撒路，他们没有破解系统，他们破解的是这份信任。 被篡改的代码让BYBIT的员工看到的是一回事，实际发送的却是另一回事。他们硬件钱包上的签名，变成了安全专家后来称之为“盲签名”（Blind Signature）。他们签署了一个他们根本没看到过的交易。 在这次入侵发生10小时后，BYBIT的35万用户纷纷提交提现申请。恐慌蔓延，交易所摇摇欲坠。以太坊价格暴跌。整个市场陷入停滞，而那些被盗的资金，早已开始流动。这是一台经过多年打磨的“印钞机”。 在最初的48小时内，超过1.6亿美元通过数十个中间钱包，被兑换成其他加密货币，穿梭于去中心化交易所和跨链桥之间。每一个步骤都自动化，每一个钱包都是一次性的。到2月23日，已有超过2亿美元被分散。到2月26日，也就是5天后，4亿美元已经“蒸发”。而在3月20日，根据BYBIT CEO本·周的说法，86%的被盗资金已被兑换成比特币，并分散到数千个地址。这些钱的消失速度，远超执法部门的反应能力。 2月26日，FBI发布公开声明：“罪犯已确定：拉撒路集团，又名APT38，来自朝鲜。联邦调查局公布了51个与洗钱相关的以太坊地址，并呼吁全球所有加密货币平台封锁相关交易。但那时，数亿美元早已不在掌控之中。 我花了几个星期跟踪这次事件的影响——不是通过新闻头条，而是通过论坛、聊天群、私密社群里的人们。在众多故事中，有两件事让我印象深刻。 一位名叫Sunntreayr的用户写道，他在BYBIT上存放了他4年远程工作攒下的所有积蓄，大约18万美元。当恐慌开始时，他试图提现。系统还在运行，但以太坊的价格已经跌了。他估计，短短几个小时内，他损失了4万美元。不是因为他被直接盗窃，而是因为市场在恐惧中崩盘。他写道：“我甚至不知道该怪谁。交易所好像没错，我好像也没错，但钱没了。” 第二个案例更糟。一位来自东南亚的女士，网名My Wallet，说她把家人给她父亲攒的治病钱——大约2.2万美元——通过BYBIT投资了加密货币。她不是交易员，有人告诉她，在交易所可以快速赚钱。当交易所动荡时，她惊慌失措地全部提现，但价格已经暴跌。最后到手的钱不到原来的一半。 15亿美元，这不仅仅是一个抽象的数字。它代表着成千上万个这样的故事，乘以恐惧、无知，以及对一个脆弱系统的信任。但这次被盗事件，又与其他任何一次盗窃有何不同？这些钱没有流向游艇，没有流向别墅，也没有流向某个天才独行侠的账户。它们流向了一个平均月工资不到100美元，但每年都要试射弹道导弹的国家。
导弹计划的资金来源：来自网络空间的钱袋子
根据2024年解散的联合国专家组的估算，朝鲜核武器和导弹计划高达40%的资金，竟然来源于网络盗窃。40%！不是靠煤炭贸易，不是靠武器销售，也不是靠盟友援助，而是靠偷来的加密货币。这不是什么媒体的猜测，这是联合国安理会授权的国际委员会得出的结论。 从BYBIT盗取的15亿美元，并非为了单纯的财富增长。它是一笔计入国家预算的款项，而这个国家根本不承认有这个预算。仅2025年，根据Chainalysis的数据，与朝鲜有关的黑客就盗取了超过20亿美元，比前一年增长了51%。从2019年到2025年底，总计高达67.5亿美元。这是全球加密货币盗窃总额的76%。四分之三，来自一个国家，一个操作者。 分析公司Elliptic在调查了这次盗窃案后，给出了一个惊人的结论：“拉撒路集团并非传统意义上的‘国家支持’团体。拉撒路集团就是朝鲜，而朝鲜就是拉撒路集团。黑客与政权之间没有界限，没有隔阂。他们是一个统一的有机体。” 而故事最黑暗的部分，才刚刚开始。要想理解，一个来自世界上最贫穷、最孤立的国家之一的组织，是如何学会窃取数十亿美元的，我们需要把时间拨回20年前，回到一个几乎无人知晓的地方。那里，孩子们从学校就被选拔出来。不是因为体育天赋，不是因为音乐才华，而是因为他们解决数学问题的速度比所有人都快。然后，他们被培养成战士，他们不拿起枪，却能造成比任何军队都大的破坏。
网络兵团的诞生：从金日成到121局
1996年，当时的朝鲜最高领导人金正日访问前线军事基地。根据韩国情报部门保存的报告，他曾说出一句话，这句话决定了其国家未来30年的走向：“未来的所有战争，都将是电脑战争。” 1996年。互联网还几乎不存在。地球上大多数人可能还不知道什么是电子邮件，而一个管理着世界上最贫穷国家之一的领导人，却已经意识到，键盘比坦克更具杀伤力。 后来，进入21世纪，他的说法更加露骨。根据研究组织C4ADS引用韩国情报资料的说法，金正日曾表示，网络攻击就像原子弹。“赢得战争的是那些在和平时期能够更多地获取敌人军事技术信息的人。”他不是在开玩笑，他是在组建一支军队。 1998年，121局成立，这是朝鲜人民军总参谋部侦察总局下属的一个网络战部门。它不是一个普通的IT部门，而是一个完整的军事机构，直接隶属于负责朝鲜所有网络行动的第三技术监视局。 早期的估计，121局大约有1800名专家。到2014年，韩国国家情报院（NIS）将这个数字更新为5900人。现在，根据《华尔街日报》的报道，他们拥有约8000名正式编制的黑客，这些黑客被组织成军事单位。 但是，在一个没有互联网的国家，黑客是从哪里来的呢？答案简单却又令人恐惧：他们从小就被培养。朝鲜各地都有一套自90年代建立起来的选拔体系。在为天才儿童设立的中学和高中，配备了电脑。根据叛逃者的说法，直到最近，这些电脑的配置也只是奔腾4级别。老师们会留意那些在数学方面有突出天赋的孩子。最优秀的学生会被送往专门的大学。 其中最著名的是“密林大学”（Mirim University），也被称为平壤自动化大学。每年，它会培养出大约100名黑客。张世律（Chang Se-yul），一名曾在密林大学就读后逃往韩国的叛逃者，曾描述过他的学习过程：每天六节课，每节90分钟。编程语言从C到汇编，操作系统涉及Linux和Windows。大量的学习时间花在了剖析微软Windows架构上：它是如何工作的，有哪些漏洞，如何渗透进去。长达五年的培训，没有我们通常意义上的周末，没有自由的互联网，只有学习和实践。 与密林大学并列的，还有金日成大学、金策工业技术大学和牡丹峰大学。最聪明的学生会被送往这些学校。 金亨光（Kim Hyung-kwang），一位曾担任计算机科学教授，在咸兴的大学里培养了19年未来网络战士的人，逃到韩国后透露，他最优秀的学生曾被派往中国实习，特别是在沈阳的一家名为“Chosen Expo Joint Venture”的皮包公司。这家公司是朝鲜特工进行网络行动的掩护。正是这家公司，后来被FBI查出并起诉了第一位拉撒路黑客——朴金赫（Park Jin-hyok）的名字。 但最让我感到触动的是，在我收集这些资料的时候。这些人不是自愿者，不是为了金钱或名誉而成为黑客的爱好者。他们是国家的财产。他们从小被选拔。他们的家庭会获得特权：平壤的住房（在朝鲜是极其宝贵的资源）、食品配给、奖学金。作为交换，黑客必须无条件地工作，不能有任何拒绝的权利。 叛逃者称，在海外工作的特工们住在集体宿舍里，受到情报部门监视人员的严密监视。他们是朝鲜2500万公民中，唯一能接触到互联网的人。他们看到了外面世界的样子。他们知道真相。他们阅读新闻，看到他们生活城市的照片，但他们仍然不能逃跑，因为逃跑意味着他们家人的死亡。这个体系设计得极其周密。 黑客被给予一切：公寓、食物、地位。而国家只拿走他唯一拥有的东西——他的亲人作为人质。张世律是这样描述的：“无论你对外部世界了解多少，你都不会离开，因为你所爱的一切都会消失。”他本人于2008年逃亡，现在居住在首尔，领导着一个由100多名叛逃前军事人员组成的组织。但他只是个例外。大多数人留下，不是因为忠诚，而是因为恐惧。 在我找到的材料中，有一个操作员（当然，网名）的经历，他在东南亚的一家皮包IT公司工作。他写道，在他12人的团队中，5年里没有人回国过一次。与家人的联系，只能通过监视者。月薪大约100-150美元。而他们团队创造的收入，却是数十万。他写了一句话，至今让我难以忘怀：“我们为那些把我们当成消耗品的人偷钱。” 这不是赛博朋克的浪漫，而是一种强制体系，将有才华的人变成了工具。数字战争中的炮灰。他们窃取数十亿美元，却一无所获。每一分钱都流向了高层：国家的预算，导弹项目，以及精英的私人基金。 到了2015年初，这台机器已经组装完毕。数千名训练有素的操作员，分散在中国、印度、马来西亚、白俄罗斯等地。掩护性的基础设施：皮包公司、虚假身份、遍布数十国的服务器，由平壤统一指挥。而他们的第一个重大目标，并非银行，并非交易所，也非政府，而是好莱坞。
索尼影业攻击事件：为一部喜剧复仇
2014年11月24日的那个早晨，索尼影视娱乐（Sony Pictures Entertainment）的员工们永远不会忘记。当他们来到办公室时，发现电脑都已瘫痪。屏幕上显示着一个红色的骷髅头，以及一个自称“和平卫士”（Guardians of Peace）的组织发来的信息：“我们拿走了一切。如果你们不满足我们的要求，我们将公开一切。” 这并非虚张声势。黑客在索尼的网络中潜伏了至少两个月，据一些说法，甚至长达一年。在此期间，他们复制了超过100TB的数据：公司高管的内部邮件、财务文件、员工的个人信息（社会保险号、医疗记录、薪资）、尚未上映的电影、未来项目的剧本。随后，他们激活了一个恶意程序，摧毁了公司约70%的服务器基础设施。硬盘被重写，引导记录被抹去，电脑变成了“砖头”。 攻击的原因？一部喜剧。电影《采访》（The Interview），由塞斯·罗根（Seth Rogen）和詹姆斯·弗兰科（James Franco）主演。一部讽刺电影，讲述了两名记者被CIA招募去刺杀金正恩。如果不是拉撒路，这部电影可能在半年后就被遗忘了。 “和平卫士”要求索尼取消首映，随后威胁要在影院制造恐怖袭击。美国最大的连锁影院纷纷拒绝放映。索尼起初取消了首映，但在公众压力下，最终还是进行了有限的院线发行和在线发行。 2014年12月19日，FBI正式宣布：“朝鲜是此次攻击的幕后黑手。”美国总统奥巴马发表公开讲话，称此次入侵“不是战争行为，但对国家安全造成了严重打击”。美国随即实施了额外的制裁。 而我在研究这个案例时，一直在思考：一个国家，因为一部喜剧，攻击一家私营公司。不是为了间谍情报，不是为了军事机密，仅仅是因为一个笑话。造成的损失，索尼在第一个季度就估算为1500万美元，这还不包括声誉损失和员工因数据泄露提起的诉讼。 但最能说明问题的是，拉撒路利用这次攻击作为一次演习：测试了方法，验证了基础设施，研究了对方的反应。因为，他们的下一个目标，将是完全不同的级别。不再是娱乐公司，而是中央银行。