摘要預覽
揭秘朝鮮駭客軍團：拉撒路竊取數十億，化為飛彈
想像一下，一個國家有著2500萬人從未接觸過網路，聽起來像科幻小說情節，對吧？但這就是現實。而就在這個國家，卻活躍著約8000名駭客。他們可能不知道YouTube是什麼，也沒打開過Google，但過去十年來，他們卻成功竊取了超過70億美元，這個數字甚至超過了一些國家的GDP！更令人心驚的是，每一筆被竊取的款項，最終都可能轉化成一枚核彈頭。我是Mr. Darkweb，今天就帶大家深入了解「拉撒路」——這個可能正潛伏在你數位錢包裡的超級駭客軍團。
起源：一個偶然的發現與警示
這一切的開端，對我來說，純屬偶然。那是在2024年底，我像往常一樣，在一個大型的暗網論壇裡挖掘關於東南亞金融詐騙的情報。這本是例行公事，沒什麼特別。但在成堆的檔案中，我偶然看到一個小小的文字檔，英文寫得斷斷續續，沒有標題，也沒有署名。我一開始沒太在意，但點開一看，裡面竟然列著一堆錢包地址、日期和轉帳金額，最後還附了一句話，大概意思是：「千萬別碰這些地址。他們不是普通人，他們是國家。」 當時我完全沒搞懂是什麼意思，以為是誰的偏執狂或者惡作劇。就隨手存檔，然後拋諸腦後了。然而，兩個月後，也就是2025年2月，發生了一件大事，讓那句話瞬間變得不再像玩笑。 全球最大的加密貨幣交易所之一，一夜之間蒸發了1550億美元。沒有駭客入侵、沒有釣魚郵件、也沒有任何用戶的疏失。當FBI公布了嫌疑對象——「拉撒路集團」(Lazarus Group)時，我猛然想起了那個文件。我打開它，對比FBI公布的地址，結果發現，51個地址中有4個竟然完全吻合！ 從那一刻起，我開始深入挖掘，越挖越覺得毛骨悚然。拉撒路集團，根本不是我們一般理解的那種駭客組織。他們不是躲在地下室的帽T客，也不是想賺點外快的匿名者。他們是整個國家的網路軍隊——朝鮮。這個地球上最封閉的國家，官方堅決否認他們的存在，但卻靠著他們的「功績」，支撐起了整個國家的飛彈計畫。 美國司法部稱拉撒路為「破壞全球網路安全、違反國際制裁以獲取非法收入的工具」。這乾巴巴的官方說法背後，是令人不寒而慄的現實。拉撒路集團是2014年Sony影業被駭事件的幕後黑手，是2016年孟加拉銀行被盜案的罪魁禍首，是2017年癱瘓全球150個國家醫院的WannaCry病毒的製造者，更是數十起加密貨幣竊案的主謀，總金額已超過70億美元。 我花了數個月的時間，查閱了數百份文件：美國司法部的起訴書、FBI的報告、Chainalysis和Elliptic等區塊鏈分析公司的數據、朝鮮叛逃者的證詞、聯合國專家小組的資料，以及一些暗網的私密討論區。我越看越覺得，拉撒路集團所做的事情，在歷史上是前所未有的。沒有哪個國家敢把駭客攻擊當作經濟支柱。但朝鮮，就這麼做了。 這是一個關於國家恐怖主義披著網路犯罪外衣的故事。一個國家如何將最頂尖的數學家變成盜賊。一群人在學校被挑選、像特種兵一樣訓練、派往海外，竊取數十億美元，卻連一毛錢都不能留給自己。而我，不想從頭說起，我要從他們最大的一次加密貨幣竊案開始——因為那最能體現這個「機器」的恐怖之處，以及為何它似乎無人能敵。
史上最大規模加密貨幣竊案：BYBIT 交易所被駭
2025年2月21日，星期五。杜拜。BYBIT，全球最大的加密貨幣交易所之一，辦公室裡氣氛如常。一項例行的操作正在進行：將資金從冷錢包轉移到熱錢包。這是員工們執行過無數次的標準流程。需要多重簽名中的三把鑰匙才能通過。 螢幕上顯示的是Safe Wallet的標準介面，這是一個全球數千家公司都在使用的多重簽名平台。轉帳金額、接收地址、確認按鈕。BYBIT的CEO班·周（Ben Zhou）看著螢幕，一切看起來都完美無缺。他按下「確認」。另外兩名員工也照做了。40分鐘後，401,347枚以太幣，價值近15億美元，就這樣消失了。不是轉錯地址，不是進入了錯誤的錢包，更不是到了錯誤的國家。 最關鍵的是：沒有人犯錯。系統沒有故障。密碼沒有被盜。員工沒有點擊任何釣魚連結。他們做的，正是他們應該做的。而這，恰恰是螢幕另一端的人所計算到的。 究竟發生了什麼？就在攻擊發生前幾天，駭客已經成功入侵了Safe Wallet的其中一位開發者的電腦——注意，不是BYBIT，而是這個多重簽名平台的開發者。他們沒有正面突破防火牆，沒有破解密碼，也沒有尋找程式碼的漏洞。他們是「從人」下手。這就是所謂的「社交工程」：一個電話、一封郵件、一次虛假的會議邀請或面試。具體的入侵方式至今仍是機密，但Safe Ecosystem Foundation的資料顯示，入侵是透過開發者的工作站發生的。 一旦控制了開發者的電腦，駭客就竊取了「會話令牌」(session tokens)——這是一種臨時性的鑰匙，讓使用者可以在不重複輸入密碼的情況下登入公司的雲端服務。這樣一來，他們就繞過了雙重認證（2FA）。他們還精準計算了時間，在開發者工作時間內進行操作，以免引起監控系統的懷疑。然後，在2月19日，也就是攻擊發生的前兩天，他們偷偷替換了一個極小的檔案——一段負責顯示交易資訊的JavaScript程式碼片段。這個被篡改的檔案，就這樣透過Safe Wallet的官方網域進入了伺服器。 這個修改後的程式碼，對所有使用者來說都運作正常，唯獨對BYBIT不一樣。你可能會問，15億美元這麼大的金額，難道在轉帳時沒人發現嗎？這聽起來像爛劇本，但這就是他們的操作方式。當你每天習慣了點擊「確認」按鈕，而且一切都一帆風順時，你不太可能會去仔細檢查螢幕上的每一個像素。這不是疏忽，而是對一個被數千家公司使用的系統的信任。拉撒路集團並沒有駭入系統，他們駭入的是這種信任。 被篡改的程式碼，讓BYBIT的員工看到的是一回事，但實際發送出去的卻是另一回事。他們在硬體錢包上的簽名，變成了一種安全專家後來稱之為「盲簽名」(blind signature)。他們簽署了一個自己根本沒看見的交易。 駭客攻擊發生後的10小時內，BYBIT有35萬用戶提交了提款申請。恐慌蔓延，交易所搖搖欲墜。以太幣價格應聲下跌。整個市場陷入停滯，而那些被盜的資金，卻已經開始流動。這是一個經過多年打磨的「生產線」。 在最初的48小時內，超過1.6億美元被轉移到數十個中間錢包，轉換成其他加密貨幣，然後透過去中心化交易所和跨鏈橋進行洗錢。每一步都自動化，每一個錢包都只用一次。到2月23日，已有超過2億美元被分散。到2月26日，也就是攻擊後的5天，有4億美元徹底消失在陰影中。而到了3月20日，根據BYBIT CEO班·周的說法，86%的被盜資金已經被轉換成比特幣，並分散到數千個地址。資金的消失速度，遠遠快於執法部門的反應。 2月26日，FBI發布了一份公開聲明：「罪魁禍首已查明：拉撒路集團，又名APT38，來自朝鮮。 」FBI公布了51個與洗錢相關的以太幣地址，並呼籲全球所有加密貨幣平台封鎖相關交易。但此時，數億美元早已遠離了他們的掌控。 我花了幾個星期，追蹤這次攻擊的後續影響。不是透過新聞標題，而是透過論壇、聊天群組和私密社群裡人們的討論。在眾多故事中，有兩個讓我印象深刻。 一位名叫Sunntreayr的用戶寫道，他在BYBIT上存了4年遠端工作的全部積蓄，大約18萬美元。當恐慌開始時，他試圖提款。交易所的系統似乎還在運作，但以太幣的價格已經開始暴跌。他估計，光是幾個小時，他就損失了4萬美元。這不是因為他被直接盜竊，而是因為市場因為恐懼而崩盤。他寫道：「我甚至不知道該怪誰。交易所好像沒錯，我也好像沒錯，但錢沒了。」 第二個案例更令人心痛。一位來自東南亞的女士，網名叫My Wallet，她說她將家人為父親籌集手術費的錢——大約22,000美元——透過BYBIT投入了加密貨幣。她不是交易員，只是聽說在這個交易所可以快速賺錢。當交易所動盪時，她驚慌失措地將所有錢都提了出來，但那時價格已經跌到谷底。最後到手的錢，連原來的一半都不到。 15億美元，這不是一個冰冷的數字。它代表著成千上萬個這樣的故事，乘以恐懼、無知，以及對一個看似可靠系統的信任，而這個系統卻如此不堪一擊。 但這次駭客攻擊與以往有何不同？這些錢沒有被用於購買遊艇、別墅，也沒有進入某個天才駭客的個人帳戶。它們被送往了一個平均月收入不到100美元，卻每年都在試射彈道飛彈的國家。
資助飛彈計畫：來自網路的資金
根據一個已於2024年解散的聯合國專家小組估計，朝鮮核武和飛彈計畫高達40%的資金，竟然來自網路竊盜。40%！這不是來自煤炭貿易、武器銷售或盟友援助，而是來自被盜的加密貨幣。這不是記者的猜測，而是由聯合國安理會授權的國際委員會得出的結論。 從BYBIT竊取的15億美元，根本不是為了個人牟利，而是國家預算的編列，一個官方上不存在的預算。僅在2025年，根據Chainalysis的數據，與朝鮮有關的駭客就竊取了超過20億美元，比前一年增加了51%。從2019年到2025年底，總計高達67.5億美元。這相當於全球所有加密貨幣竊案的76%！四分之三的竊案，都來自同一個國家，同一個操作者。 分析公司Elliptic，在調查這次駭客攻擊後，如此下了結論：「拉撒路集團並非傳統意義上的國家贊助組織。拉撒路就是朝鮮，朝鮮就是拉撒路。駭客與政權之間沒有界線，沒有縫隙。他們是一個單一的有機體。」 而故事最黑暗的部分，才正要開始。要理解一個來自世界上最貧窮、最孤立的國家之一的組織，是如何學會竊取數十億美元的，我們必須將時間倒退20年，回到一個幾乎無人知曉的地方。那裡，孩子們在學校被挑選出來。不是因為體育才能，也不是音樂天賦，而是因為他們解決數學問題的速度比別人快。然後，這些孩子被培養成士兵，他們從不拿起槍，卻能造成比任何軍隊都更大的破壞。
網路軍隊的誕生：從金日成到121局
1996年，當時的朝鮮領導人金正日，在一次前線軍事視察時，說了一句話，這句話深刻地影響了他國家接下來30年的歷史：「未來的戰爭，都是電腦戰爭。」 1996年，網際網路才剛剛萌芽。地球上絕大多數人還不知道什麼是電子郵件，而一個貧窮國家的領導人，卻已經意識到鍵盤比坦克更具威脅。 後來，到了2000年代，他的說法更加露骨。根據研究組織C4ADS引述的韓國情報資料，金正日曾表示，網路攻擊就像原子彈。「戰爭的勝利者，是在和平時期能夠獲取敵國更多軍事技術資訊的那一方。」他不是在開玩笑，他真真切切地在組建一支軍隊。 1998年，朝鮮軍方設立了「121局」，作為其總參謀部情報總局（GRB）下屬的網路戰部門。這不是一個普通的IT部門，而是一個正規的軍事機構，直接向負責朝鮮所有網路行動的第三技術偵察局匯報。 早期估計，121局約有1800名專家。到了2014年，韓國國家情報院（NIS）將這個數字上調至5900人。據《華爾街日報》報導，目前，朝鮮約有8000名全職駭客，他們被組織成作戰單位。 但是，一個沒有網路的國家，從哪裡來這麼多駭客呢？答案簡單卻令人不寒而慄。他們從小被培養。全朝鮮範圍內，從90年代就建立了一套人才選拔系統。在特殊學校裡，為資優學生提供了電腦。根據叛逃者的說法，即使是最近，這些電腦也僅相當於 Pentium 4 的水平。老師們會留意那些在數學方面有突出天賦的孩子。最優秀的，會被送往專門的大學。 其中最著名的是「密林大學」（Mirim University），又稱平壤自動化大學。這所大學每年培養出大約100名駭客。張世律（Chang Se-ryul），一位曾就讀於密林大學後叛逃至韓國的學生，描述了他的學習過程：每天六節課，每節90分鐘。從C語言到彙編語言，Linux和Windows作業系統。大量的時間用於研究Windows的架構：它是如何運作的，哪裡有漏洞，如何滲透進去。五年的嚴苛訓練，沒有傳統意義上的週末，沒有自由的網路，只有學習和實踐。 與密林大學並肩運作的，還有金日成大學、金策工業大學和牡丹峰大學。最頂尖的學生會被送到這些學校。 金亨光（Kim Hyung-kwang），一位曾在 hamhŭng 的大學任教19年，培養了無數未來網路戰士的資訊科學教授，叛逃到韓國後透露，他最優秀的學生會被派往中國實習，特別是沈陽，那裡有一個名為「Chosen Expo Joint Venture」的幌生公司。這家公司就是駭客執行網路行動的掩護。正是從這家公司，FBI查到了拉撒路集團的第一位被起訴的駭客——朴鎮赫（Pak Jin-hyok）的名字。 但當我整理這些資料時，最讓我感到震撼的是：這些人並非志願者，也非出於對金錢或名聲的渴望而成為駭客。他們是國家的財產。他們從小被選拔。他們的家庭會獲得特權：平壤的住所（這在朝鮮是極其寶貴的資源）、糧食配給、獎學金。作為交換，駭客必須無條件工作，沒有選擇的權利，更沒有拒絕的權利。 叛逃者透露，在海外工作的特工，住在類似集體宿舍的地方，時刻受到情報局監管人員的監視。他們是朝鮮2500萬公民中，唯一能接觸到網路的人。他們看到了外部世界的樣貌，他們了解真相。他們閱讀新聞，看到他們生活城市的照片，但仍然無法逃離，因為逃跑意味著他們家人的死亡。這個體系，被設計得滴水不漏。 國家給予駭客一切：公寓、食物、地位。但同時，也剝奪了他們唯一擁有的東西——他們的親人，作為人質。張世律如此描述：「不管你對外部世界了解多少，你都不會離開，因為你愛的人都會消失。」他本人於2008年逃離，現在居住在首爾，領導著一個由100多名前軍人組成的叛逃者組織。但他終究是個例外。大多數人留下，並非出於對政權的忠誠，而是因為恐懼。 在我找到的資料中，有一個操作員（當然，是在論壇上的化名）講述了他曾在東南亞一家幌生IT公司工作的經歷。他寫道，他們小組12個人，五年來沒有一個人回過家。與家人的聯繫，只能透過監管人員。月薪約100-150美元。但他們的小組，一年卻能創造數十萬美元的收入。他寫了一句話，讓我至今難忘：「我們為那些視我們為消耗品的人偷錢。」 這不是賽博龐克的浪漫情節，這是一個強迫體系，有才華的人被轉化為工具。數位戰爭中的「砲灰」。他們竊取數十億，卻一無所得。每一分錢都進入了高層：進入政權的預算、飛彈計畫，以及高官的私人基金。 到了2015年初，這個龐大的「機器」已經成型。數千名訓練有素的操作員，分散在中國、印度、馬來西亞、白俄羅斯等國。有掩護性的基礎設施：幌生公司、虛假身份、遍布數十個國家的伺服器，以及來自平壤的指揮系統。而他們的第一次真正目標，並非銀行、交易所或政府，而是好萊塢。
攻擊 Sony Pictures：為了喜劇的復仇
2014年11月24日的早晨，Sony Pictures Entertainment的員工們永遠忘不了這一天。他們來到公司，卻發現所有電腦都已癱瘓。螢幕上出現了一個紅色的骷髏頭，以及一個自稱「和平守護者」（Guardians of Peace）的組織留下的訊息：「我們拿走了你們的一切。如果你們不照做，我們會將其公佈。」 這並非虛張聲勢。駭客在Sony的內部網路中活動了至少兩個月，據說甚至長達一年。在這段時間裡，他們複製了超過100TB的數據：內部高管的郵件、財務文件、員工的個人資料（包括社會安全號碼、醫療記錄、薪資）、還未上映的電影、未來項目的劇本。然後，他們啟動了一個惡意程式，摧毀了公司約70%的伺服器基礎設施。硬碟被重寫，啟動記錄被擦除，電腦變成了「磚頭」。 這次攻擊的原因，竟然是因為一部喜劇。電影《名嘴㹂死》(The Interview)，由塞斯·羅根（Seth Rogen）和詹姆斯·法蘭柯（James Franco）主演。這部電影諷刺性地描寫了兩名記者被CIA招募，企圖暗殺金正恩。如果不是拉撒路集團，這部電影可能半年後就沒人記得了。 「和平守護者」要求Sony取消電影的首映，隨後開始威脅那些播放該片的電影院，聲稱將發動恐怖襲擊。美國最大的連鎖影院紛紛宣布取消放映。Sony最初取消了首映，但在公眾壓力下，最終還是進行了有限度的上映和線上發行。 2014年12月19日，FBI正式宣布：「此次攻擊的幕後黑手是朝鮮。」美國總統歐巴馬公開表示，這不是一場戰爭行為，但卻是對國家安全的一次嚴重打擊。美國隨即宣布了額外的制裁。 當我深入研究這個案例時，我一直在思考：一個國家，竟然會因為一部喜劇而去攻擊一家私人公司？不是因為情報、不是因為軍事機密，僅僅因為一個笑話。而造成的損失，Sony估計僅在第一季度就高達1500萬美元，這還不包括聲譽損失和員工因個人資料洩露而提起的訴訟。 但最令人警惕的是，拉撒路集團利用這次攻擊作為一次演練：測試了他們的技術、驗證了他們的基礎設施，並觀察了對方的反應。因為他們的下一個目標，將是截然不同的級別。不再是娛樂公司，而是中央銀行。