Najgroźniejsi hakerzy świata polują na kryptowaluty. Za nimi stoi Korea Północna
21 lutego 2025 roku pracownicy giełdy Bybit wykonywali operację, która z ich perspektywy nie powinna różnić się szczególnie od wielu wcześniejszych. Chodziło o transfer środków z jednego z zimnych portfeli Ethereum.
Transakcja wymagała wielu podpisów. Osoby odpowiedzialne za operację sprawdziły dane, zatwierdziły je i zrobiły dokładnie to, czego wymagała procedura bezpieczeństwa.
Kilka chwil później kontrolę nad portfelem przejęli napastnicy. Z Bybit wyprowadzono około 1,46 mld dolarów w ETH i powiązanych aktywach. Wśród nich znalazło się ponad 401 tys. ETH. FBI oficjalnie przypisało atak Korei Północnej.
Lazarus to nie kilku hakerów siedzących w piwnicy
Niepokojące jest jednak to, że Bybit nie był odosobnionym przypadkiem. Według danych Chainalysis północnokoreańscy hakerzy ukradli w samym 2025 roku co najmniej 2,02 mld dolarów w kryptowalutach, podnosząc szacowaną łączną wartość ich łupów do minimum 6,75 mld dolarów.
Najbardziej niebezpieczne ataki wcale nie muszą polegać na łamaniu kryptografii Bitcoina czy znajdowaniu skomplikowanych błędów w blockchainie.
Czasem wystarczy wiadomość od „rekrutera” na LinkedInie. Kiedy mówi się o cyberprzestępcach, wyobraźnia automatycznie podsuwa człowieka w kapturze siedzącego przed sześcioma monitorami, po których przesuwają się zielone linijki kodu.
W przypadku Lazarus Group rzeczywistość jest znacznie ciekawsza. I groźniejsza.
Określenie „grupa hakerów” może być tutaj wręcz mylące. Lazarus jest nazwą używaną przez branżę cyberbezpieczeństwa wobec części północnokoreańskiego aparatu cybernetycznego.
Amerykański Departament Skarbu w 2019 roku objął sankcjami Lazarus Group, Bluenoroff oraz Andariel, określając je jako podmioty kontrolowane przez Reconnaissance General Bureau, czyli główną północnokoreańską agencję wywiadowczą. Według amerykańskich władz Lazarus został utworzony przez rząd Korei Północnej już około 2007 roku.
Początkowo pieniądze nie były zresztą jedynym celem.
Północnokoreańscy operatorzy prowadzili szpiegostwo, wykradali dane, atakowali firmy i instytucje państwowe, a czasem po prostu niszczyli zaatakowaną infrastrukturę.
Atak na Sony Pictures
Jedną z operacji, dzięki którym usłyszał o nich cały świat, był atak na Sony Pictures w 2014 roku. Powód był wyjątkowo nietypowy nawet jak na historię cyberprzestępczości.
Sony przygotowało film „The Interview”, którego fabuła opowiadała o planie zamachu na Kim Dzong Una. W odpowiedzi hakerzy wykradli z firmy ogromne ilości danych, publikowali poufne informacje i niszczyli systemy komputerowe. Amerykański Departament Sprawiedliwości powiązał atak z północnokoreańskimi operatorami.
Dwa lata później przestali jednak atakować wyłącznie informacje. Zaczęli atakować pieniądze.
Próbowali ukraść prawie miliard dolarów z banku centralnego
W 2016 roku celem stał się Bangladesh Bank. Napastnicy włamali się do systemów banku i wykorzystali przejęte dane uwierzytelniające do wysyłania fałszywych komunikatów SWIFT. W praktyce oznaczało to, że system otrzymywał polecenia przelewów wyglądające jak prawdziwe instrukcje banku centralnego.
Według Departamentu Skarbu USA hakerzy złożyli ponad 36 dużych zleceń transferu i próbowali wyprowadzić około 851 mln dolarów. Ostatecznie udało im się ukraść około 81 mln dolarów.
To właśnie w tamtym okresie coraz wyraźniej było widać zmianę charakteru północnokoreańskich operacji. Cyberataki przestały być wyłącznie bronią polityczną czy szpiegowską. Stały się źródłem przychodów.
W 2017 roku przyszło WannaCry. Złośliwe oprogramowanie sparaliżowało około 300 tys. komputerów w co najmniej 150 krajach. Jedną z najbardziej znanych ofiar była brytyjska służba zdrowia NHS, gdzie odwołano tysiące wizyt i zabiegów. Departament Sprawiedliwości USA przypisał stworzenie malware’u północnokoreańskiej grupie.
A później hakerzy znaleźli rynek, który pasował do ich potrzeb niemal idealnie. Kryptowaluty.
Dlaczego kryptowaluty stały się dla Korei Północnej tak atrakcyjne?
Tradycyjnego systemu finansowego strzegą banki, operatorzy płatności, procedury compliance, możliwość blokowania przelewów oraz całe warstwy instytucji pośredniczących.
Blockchain działa inaczej. Jeżeli ktoś zdobędzie kontrolę nad kluczem prywatnym albo przekona właściwą osobę do podpisania spreparowanej transakcji, środki mogą w kilka minut znaleźć się na drugim końcu świata.
Już w 2019 roku Departament Skarbu USA informował, że trzy północnokoreańskie grupy cybernetyczne mogły ukraść około 571 mln dolarów w kryptowalutach z zaledwie pięciu azjatyckich giełd w okresie od stycznia 2017 do września 2018 roku. Dzisiaj skala jest wielokrotnie większa.
Chainalysis szacuje, że do końca 2025 roku łączna wartość kryptowalut skradzionych przez podmioty związane z Koreą Północną wyniosła co najmniej 6,75 mld dolarów. Co ciekawe, w 2025 roku przeprowadzono mniej znanych ataków niż wcześniej, ale ich średnia wartość dramatycznie wzrosła.
Północnokoreańscy hakerzy nie muszą więc atakować częściej. Wystarczy atakować skuteczniej.
Najsłabszym ogniwem jest pracownik
Można stworzyć bardzo bezpieczny portfel, zastosować wiele podpisów, oddzielić część infrastruktury od internetu. Można zatrudnić sztab specjalistów od cyberbezpieczeństwa. Tylko co z tego, jeżeli napastnik przekona właściwego człowieka, żeby sam otworzył mu drzwi?
Chainalysis wskazuje, że północnokoreańscy operatorzy coraz częściej wykorzystują właśnie takie metody. Podszywają się pod pracowników branży, potencjalnych inwestorów, rekruterów czy partnerów biznesowych. Czasem przeprowadzają całe fikcyjne procesy rekrutacyjne, których prawdziwym celem jest zdobycie danych logowania, kodu źródłowego albo dostępu do firmowej infrastruktury.
Redakcja BitHub.pl poleca również:
Rentowność amerykańskich obligacji najwyżej od 2007 roku. Co to oznacza dla giełdy?
BlackRock wraca do Bitcoina? ETF-y znów przyciągają pieniądze z Wall Street
Chińczycy trzymają 26 bilionów USD na kontach. Czy te pieniądze trafią na giełdę?
