Призраки за экраном: тайный мир северокорейских хакеров Lazarus

Автор: ChandlerZ, Foresight News

Примечание редактора: В криптомире богатство может переместиться за считанные минуты. Обычное приглашение на собеседование или обновление программного обеспечения может скрывать доступ к огромным активам. Рубрика Foresight News «Криптоистории» рассказывает о людях, стоящих за необычными событиями, и по открытым данным и следам транзакций ищет то, что ещё не было раскрыто.

Во втором выпуске мы знакомимся с Lazarus Group. Эту хакерскую группировку, связанную с Северной Кореей, обвиняли в атаке на Sony Pictures, краже средств из центрального банка Бангладеш и множестве краж криптоактивов. После атаки на Binance она снова оказалась в центре внимания. Откуда взялись эти люди, скрывающиеся за экранами? Как они приближаются к целям и как отмывают украденные активы?

В октябре 2026 года с Binance было украдено цифровых активов на сумму 6,34 миллиарда долларов, что стало рекордом в истории криптоиндустрии.

А всего за месяц до этого один из инженеров Binance получил на платформе по поиску работы, казалось бы, обычное приглашение на собеседование. Рекрутёр сначала организовал видеоинтервью, а затем попросил человека, представившегося генеральным директором компании, провести второй раунд. Ближе к концу собеседования инженеру прислали тестовое задание по программированию и попросили загрузить его на рабочий компьютер.

Согласно предварительному отчёту, опубликованному 3 ноября, компания-работодатель была полностью вымышлена злоумышленниками, а в задании содержался вредоносный код. С его помощью атакующие проникли в компьютер инженера и 20 октября, используя внутренний ИИ-инструмент Binance, осуществили горизонтальное перемещение, получили токены доступа к системе развёртывания и в итоге взломали систему подписи кошельков. Хотя Binance удалось экстренно заблокировать и заморозить около 2,85 миллиарда долларов, это вторжение, начавшееся с «фальшивого найма», всё равно стало рекордной кражей в истории криптоиндустрии.

Федеральное бюро расследований (ФБР) приписало это дело северокорейской хакерской операции TraderTraitor, которая является ключевым подразделением печально известной Lazarus Group. В день атаки на Binance Microsoft опубликовала отчёт, раскрывший ещё более опасную эволюцию: эти северокорейские хакеры полностью интегрировали генеративный ИИ в свои повседневные операции. Они не только массово создают фальшивые компании-работодатели и адаптируют сценарии собеседований с помощью ИИ, но и напрямую используют открытые ИИ-инструменты для поиска уязвимостей.

За годы эволюции это скрытое подразделение превратило криптоиндустрию в огромную машину по добыче иностранной валюты. По данным Chainalysis и Корейской корпорации содействия торговле и инвестициям (KOTRA), в 2025 году северокорейские хакеры украли криптоактивы на сумму не менее 2,02 миллиарда долларов, что в 4,3 раза превышает общий объём товарного экспорта Северной Кореи за тот же год (469 миллионов долларов). По оценкам TRM Labs, к октябрю 2026 года северокорейские хакеры в общей сложности украли около 12,8 миллиарда долларов; из общемировых потерь от криптохакерских атак в 2026 году, составивших 8,7 миллиарда долларов, на долю Северной Кореи пришлось 85%, тогда как в 2020 году этот показатель составлял всего 7%.

Почему, несмотря на непрекращающиеся расследования и жёсткие санкции со стороны правоохранительных органов разных стран, Lazarus крадёт всё больше и больше и даже взяла на себя более 80% крупнейших ончейн-ограблений в мире? Кто эти люди, скрывающиеся за экранами, как они обучаются, как действуют скрытно и как отмывают миллиарды долларов?

Возможно, ответы на эти вопросы можно найти, начав с разоблачённых северокорейских хакеров.

Разоблачённые северокорейские хакеры

Увидеть истинное лицо этих «программистов-призраков» непросто, но за более чем десять лет игры в кошки-мышки появилось несколько трещин, позволивших внешнему миру заглянуть за экраны.

Первая трещина появилась 15 лет назад в резюме, отправленном в китайский город Далянь.

В январе 2011 года северокорейская компания Chosun Expo порекомендовала одной зарубежной фирме молодого человека по имени Пак Джин Хёк (Pak Jin Hek, также известный как Park Jin Hyok), выпускника Пхеньянского университета науки и технологий имени Ким Чхэка, для замены разработчика в команде в Даляне. Согласно резюме, Пак владел английским и китайским языками, отлично знал Java и имел опыт разработки онлайн-игр. Тогда он выглядел обычным программистом, работающим за границей.

В мае 2011 года он в переписке упомянул, что в сентябре исполнится год его проживания в Даляне, и он планирует вернуться в Северную Корею, чтобы жениться, и хотел бы остаться на родине на длительный срок. Через несколько месяцев он сообщил, что вернётся на следующей неделе.

Фотография Пак Джин Хёка из розыскного плаката, использованная в репортаже CBS

Однако много лет спустя, когда ФБР расследовало атаку на Sony Pictures, кражу 81 миллиона долларов из центрального банка Бангладеш и дело о программе-вымогателе WannaCry, следователи неожиданно обнаружили старый рабочий почтовый ящик Пака. Он забыл полностью замести следы: в адресной книге его личной почты сохранился адрес хакерского аккаунта «Kim Hyon Woo», а другой рабочий аккаунт имел доступ к зашифрованным облачным файлам хакеров и даже использовал те же устройства и сетевые адреса.

Это пересечение бытовых следов и операционной сети сделало Пака знаковым лицом в списке разыскиваемых ФБР. По словам перебежчиков из Северной Кореи, работавших в компьютерной сфере, одарённые студенты естественно-научных специальностей проходят многоступенчатый отбор и направляются в военные киберподразделения или за границу.

Днём они — программисты-аутсорсеры, зарабатывающие иностранную валюту для страны; ночью — охотники даркнета, подчиняющиеся государству.

Если десять лет назад Паку требовалось физически находиться за границей, то второй разоблачённый агент продемонстрировал пугающую «идеальную маскировку» в эпоху ИИ.

В июле 2024 года американская компания по кибербезопасности KnowBe4 наняла удалённого старшего инженера. Соискатель украл личность реального гражданина США, использовал сгенерированное ИИ фото и успешно прошёл четыре раунда видеоинтервью и все проверки биографии. Прокол обнаружился только тогда, когда компания отправила рабочий Mac: адрес доставки оказался «фермой ноутбуков» (центром, где размещаются компьютеры для подмены IP-адресов) на территории США, которая помогает зарубежным хакерам размещать компьютеры для подмены американского IP-адреса. Менее чем через 25 минут после включения компьютера этот «новый сотрудник» поспешил установить вредоносное ПО через Raspberry Pi, что мгновенно вызвало срабатывание системы безопасности. Когда служба безопасности позвонила для проверки, он быстро замямлил и оборвал связь. Позднее Mandiant и ФБР подтвердили, что это был северокорейский агент.

К 2025–2026 годам, когда дипфейки и поддельные личности сделали обычные проверки биографии бесполезными, криптосообщество нашло третьего северокорейского хакера способом, полным чёрного юмора.

По мере того как множество северокорейских IT-специалистов, маскирующихся под японских или американских разработчиков, хлынуло в индустрию Web3, некоторые криптопроекты, уставшие от них, изобрели безотказный финальный вопрос на собеседовании — «тест Ким Чен Ына». В апреле 2026 года блокчейн-следователь Tanuki42 опубликовал 82-секундную запись удалённого собеседования: соискатель под псевдонимом Таро Айкути, утверждавший, что живёт в районе Мэгуро в Токио, блестяще отвечал на технические вопросы, но когда интервьюер внезапно попросил его повторить оскорбительную фразу в адрес Ким Чен Ына, чтобы исключить северокорейского агента, лицо «японского инженера» мгновенно изменилось.

Сначала он сделал вид, что связь плохая, а после повторного вопроса интервьюера замолчал, а затем поспешно отключился. В течение нескольких минут он быстро изменил аккаунт в Telegram, удалил историю и деактивировал страницу в LinkedIn.

Даже если эти технические специалисты владеют самыми передовыми технологиями блокчейна и дипфейками, в условиях жёсткого контроля и системы круговой поруки публичное оскорбление верховного лидера остаётся для них абсолютно запретной красной чертой.

От Пак Джин Хёка, который, живя в съёмной квартире в Даляне, пользовался общим почтовым ящиком, до фальшивого американского инженера, обманувшего четыре раунда собеседований с помощью ИИ, и «токийского разработчика», мгновенно отключившегося из-за политического табу, — эти три момента разоблачения, растянувшиеся на 15 лет, приоткрыли лишь верхушку огромного айсберга Lazarus.

Lazarus — не просто «киберограбления»

В ноябре 2014 года компьютерные системы Sony Pictures были взломаны, большое количество внутренних неопубликованных материалов и переписки руководителей утекло в сеть, а ответственность взяла на себя группировка, назвавшаяся «Guardians of Peace». В то время Sony готовилась выпустить фильм «Интервью» с вымышленным сюжетом об убийстве северокорейского лидера. В последующем обвинительном заключении Министерство юстиции США заявило, что поддерживаемые Северной Кореей злоумышленники не только похитили данные и вывели из строя компьютеры, но и угрожали сотрудникам взрывами.

Несколько месяцев спустя компания по кибербезопасности Novetta возглавила межведомственное расследование вредоносного ПО, использованного в атаке. Исследователи обнаружили, что часть кода в инциденте с Sony совпадает с инструментами, оставшимися от предыдущих кибератак. В отчёте «Operation Blockbuster», опубликованном в 2016 году, эта скрытая атакующая сила была названа «Lazarus Group».

По мере углубления расследования внешний мир постепенно осознал, что Lazarus — это не просто банда грабителей, а часть строго организованной государственной машины. В 2019 году, когда Министерство финансов США ввело санкции против Lazarus, BlueNoroff и Andariel, оно прямо связало их с высшим военным разведывательным органом Северной Кореи — Разведывательным управлением Генерального штаба (RGB).

Подразделение Unit 42 компании Palo Alto Networks в 2024 году составило всеобъемлющую схему взаимосвязей. Под командованием Разведывательного управления Генерального штаба несколько кластеров киберактивности выполняют свои задачи, и их поле деятельности давно вышло за пределы криптоиндустрии, охватив мировые финансы, оборонную промышленность и медиаразведку.

Схема взаимосвязей кластеров киберактивности, связанных с Разведывательным управлением Генерального штаба Северной Кореи, составленная Unit 42 в 2024 году

В этой сети лишь часть кластеров специализируется на блокчейне и криптоиндустрии, например Slow Pisces (также известный как Jade Sleet), пересекающийся с TraderTraitor в деле Binance, и Gleaming Pisces (также известный как Citrine Sleet), распространяющий троян AppleJeus через поддельное торговое программное обеспечение.

А за пределами криптосферы действия других подразделений не менее захватывающие. В сфере традиционных финансов Alluring Pisces (то есть BlueNoroff/APT38) ещё до криптобума использовал мировую банковскую систему как банкомат. Самая громкая операция — ограбление центрального банка Бангладеш в 2016 году.

В оборонной и военной сфере Jumpy Pisces (то есть Andariel) играет роль похитителя технологий, действующего по принципу «война кормит войну». Согласно обвинительному заключению Министерства юстиции США, опубликованному в июле 2024 года, это подразделение сформировало уникальный замкнутый цикл. С одной стороны, они атакуют американские больницы и медицинские учреждения с помощью программы-вымогателя Maui, требуя выкуп для финансирования операций; с другой — используют эти деньги для покупки серверов, проникают к американским оборонным подрядчикам, на авиабазы и в южнокорейские оборонные исследовательские институты, целенаправленно похищая секретные чертежи двигателей истребителей F-15, военных разведывательных спутников, подводных лодок, а также объектов по обогащению урана и ядерного топлива.

В сфере медиа и стратегической разведки Selective Pisces (Diamond Sleet) и Sparkling Pisces (Kimsuky) сосредоточены на краже секретов и создании атмосферы страха. Помимо выведения из строя таких развлекательных гигантов, как Sony Pictures, в последние годы они неоднократно выдавали себя за журналистов ведущих западных СМИ и сотрудников аналитических центров, рассылая западным журналистам, дипломатам и оборонным аналитическим центрам, освещающим северокорейскую тематику, «вопросы для интервью» или приглашения на конференции с троянами. Они даже массово регистрировали в социальных сетях поддельные аккаунты, выдавая себя за ведущих исследователей безопасности, чтобы проводить фишинг в отношении экспертов по безопасности таких компаний, как Google, и таким образом похищать нераскрытые уязвимости нулевого дня (0-day) и информацию о политике разных стран в отношении Северной Кореи.

Исследователи в основном классифицируют кластеры по целям атак, характеристикам вредоносного ПО и серверной инфраструктуре, но когда разные команды используют общие библиотеки кода или прокси-серверы, определить, какая именно группа провела ту или иную операцию, практически невозможно — всё равно что резать тофу.

Однако можно с уверенностью сказать, что «ограбление» и «кража секретов» в этой машине тесно связаны.

От счетов центробанков к кошелькам бирж

Ещё до того, как криптобиржи стали главной целью, банки уже попали в поле зрения следователей.

В феврале 2016 года были взломаны компьютеры центрального банка Бангладеш, подключённые к международной банковской системе передачи сообщений SWIFT. Согласно документам Министерства юстиции США, злоумышленники от имени центробанка отправили платёжные поручения, требуя от Федерального резервного банка Нью-Йорка перевести доллары со счетов центробанка за границу.

Злоумышленники попытались вывести почти 1 миллиард долларов, из которых 81 миллион долларов достиг счетов на Филиппинах, а затем прошёл через банки, системы денежных переводов и казино; ещё 20 миллионов долларов были заблокированы банком-получателем в Шри-Ланке. Следователи обнаружили, что счета получателей на Филиппинах были открыты на подставные имена ещё за год до этого.

Помимо счетов получателей, злоумышленникам нужно было понимать, как банки обрабатывают переводы. Изучив атаки APT38 на финансовые учреждения, Mandiant установила, что после проникновения в сеть жертвы они собирают учётные данные, находят компьютеры, обрабатывающие транзакции SWIFT, а затем ищут возможность отправить платёжные поручения. В наблюдавшихся компанией случаях злоумышленники в среднем находились в сети жертвы около 155 дней, а максимальный срок приближался к двум годам.

Схема атаки APT38, составленная Mandiant

Несколько лет спустя целью постепенно стали и средства криптоиндустрии. В 2022 году был взломан кроссчейн-мост Ronin, использовавшийся блокчейн-игрой Axie Infinity; потери превысили 600 миллионов долларов, и ФБР приписало атаку Lazarus. Два года спустя японская биржа DMM Bitcoin лишилась 4502,9 биткоина, что на тот момент стоило около 308 миллионов долларов. Правоохранительные органы США и Японии приписали это дело TraderTraitor.

Следователи восстановили точку входа в систему DMM: в марте 2024 года злоумышленник, выдававший себя за рекрутёра, связался в LinkedIn с сотрудником компании-разработчика кошельков Ginco и отправил так называемый тест для соискателей, содержавший вредоносный код. Получив доступ, злоумышленник выдал себя за этого сотрудника и, используя систему связи компании, предположительно подменил обычный запрос на транзакцию DMM.

К февралю 2025 года криптобиржа Bybit готовилась перевести эфир с холодного кошелька на кошелёк для повседневного использования. Холодный кошелёк используется для хранения активов, и для перевода требовалось одобрение нескольких уполномоченных лиц через интерфейс провайдера кошельков Safe. Компания Sygnia, проводившая расследование, позднее восстановила ход атаки: ещё 4 февраля на компьютере одного из разработчиков Safe была зафиксирована вредоносная активность; на следующий день злоумышленник использовал токен доступа этого разработчика для входа в облачную среду Safe.

19 февраля злоумышленник внедрил вредоносный код в код, вызываемый веб-интерфейсом Safe, и настроил условие срабатывания, ожидая, когда целевой кошелёк Bybit инициирует операцию. Два дня спустя уполномоченные лица Bybit обрабатывали перевод через интерфейс Safe и видели, казалось бы, обычный внутренний запрос на перевод.

Однако, как установила компания NCC Group, одобренная подписантами транзакция содержала вредоносную операцию, которая вызывала заранее развёрнутый злоумышленником контракт и изменяла логику управления холодным кошельком. После выполнения транзакции злоумышленник смог вывести активы из кошелька без повторного получения исходной мультиподписи. В результате было выведено около 1,5 миллиарда долларов.

Схема кражи с Bybit, составленная Curvegrid

По данным расследования Sygnia, вредоносный код был удалён примерно через две минуты после транзакции. Следователи полагают, что первоначальное заражение компьютера разработчика Safe могло быть связано с социальной инженерией, но точный способ контакта пока не подтверждён.

Настройка мультиподписи Bybit требовала одобрения транзакции несколькими уполномоченными лицами, что должно было снизить риск компрометации одного аккаунта. Проникнув в облачную среду Safe, злоумышленник изменил веб-страницу, которую использовали эти подписанты, и в итоге добился одобрения вредоносной транзакции.

Помимо взлома поставщиков программного обеспечения, некоторые северокорейцы обвиняются в использовании поддельных личностей для проникновения в криптокомпании. В 2025 году Министерство юстиции США предъявило обвинения четырём гражданам Северной Кореи в участии в схеме кражи, двое из которых под видом разработчиков были наняты в блокчейн-компанию и компанию, выпускающую виртуальные токены. По версии обвинения, они использовали свои должностные возможности для кражи и перевода виртуальных активов на сумму более 900 000 долларов.

Примечательно, что ловушки могут скрываться и на другом конце процесса найма. Изучив кластер активности, названный Microsoft Sapphire Sleet, компания обнаружила, что злоумышленники выдают себя за рекрутёров в социальных сетях, сначала обсуждают с целью возможности трудоустройства, затем назначают техническое собеседование и просят установить вредоносное ПО, замаскированное под инструмент для видеоконференций или обновление средств разработки. Тест для соискателей, полученный сотрудником Ginco в деле DMM, также фигурировал в аналогичных контактах.

Более того, эти методы постоянно обновляются. В отчёте Microsoft за октябрь 2026 года отмечается, что связанные с Северной Кореей злоумышленники начали использовать генеративный ИИ для изучения целей, составления текстов сообщений и создания фальшивых личностей. За тщательно подготовленным приглашением, учитывающим опыт соискателя, может стоять сбор информации о его профессиональном опыте и социальных связях.

Куда уходят украденные деньги?

После вывода активов злоумышленники обычно сначала распределяют средства по нескольким новым кошелькам; некоторые адреса после получения средств переводят их дальше по цепочке, оставляя разрозненные ончейн-записи. Затем средства могут проходить через децентрализованные биржи или кроссчейн-сервисы, обмениваться на другие токены или переводиться на другой блокчейн. С каждой дополнительной конвертацией следователям приходится отслеживать новые адреса и их контрагентов.

Поток средств после кражи с Bybit даёт подсказку: в феврале 2025 года украденный эфир начал распределяться по тысячам адресов. Злоумышленники дробили средства, обменивали их и переводили через кроссчейн-сервисы. По данным TRM Labs, в течение 48 часов не менее 160 миллионов долларов было перемещено и направлено в каналы отмывания.

Отслеживая эти переводы, ончейн-следователь ZachXBT обратил внимание на другую группу людей. Согласно его расследованию, опубликованному в октябре 2026 года, после атаки на Bybit в публичных группах Telegram и Discord появилось более десятка аккаунтов, ищущих заказы на обработку средств, связанных с украденными активами. Один из трейдеров под псевдонимом Jimmy Green привлёк его внимание.

ZachXBT решил связаться с ним под видом клиента. 6 марта 2025 года он перевёл 349 700 USDC на новый адрес, готовясь провести несколько сделок с Jimmy. Jimmy предоставил адрес для получения средств, попросив перевести USDC в сети Ethereum в обмен на USDT в сети Tron. ZachXBT отследил, что кошелёк, оплативший комиссию за этот адрес, связан с украденными средствами Bybit и фигурирует в публичном списке адресов, имеющих отношение к делу.

Чтобы продолжить общение с Jimmy, ZachXBT совершил с ним ещё несколько сделок, каждый раз теряя около 5%. Они обсуждали сделки, а также маджонг, еду и семью. По мере роста контактов Jimmy начал рассказывать этому человеку, считавшему себя клиентом, о бизнесе своей команды, включая перевод средств Bybit для северокорейских клиентов и деятельность команды в Гонконге и материковом Китае.

ZachXBT утверждает, что Jimmy однажды за день предупредил его о переводе средств в Solana, и на следующий день соответствующий перевод появился в блокчейне. 12 марта Jimmy прислал скриншот кроссчейн-транзакции, и ZachXBT по сумме и времени нашёл соответствующий ордер на THORChain. Три адреса Solana, которые затем предоставил собеседник, помогли ему отследить группу украденных средств Bybit на сумму более 12 миллионов долларов; по его словам, Tether позже заморозил 442 000 USDT, связанных с этой группой адресов.

Jimmy также заявил ZachXBT, что его команда обработала большую часть украденных активов Bybit. ZachXBT считает, что наблюдаемая им схема отмывания соответствует этому утверждению. Он передал результаты расследования сотрудникам правоохранительных органов и частным следователям, участвующим в деле, и обнародовал эту историю только в октябре 2026 года.

После инцидента безопасности Binance объявила, что около 3 миллиардов долларов, связанных с инцидентом, были заморожены в блокчейне. TRM Labs отметила, что злоумышленники продавали часть активов через децентрализованные биржи и маркет-мейкеров, а также использовали часть украденных активов в качестве залога в кредитных протоколах, таких как Aave и JustLend, для заимствования других активов.

Тем временем Binance начала восполнять пострадавшие активы. 2 ноября платформа сообщила, что около 95% соответствующих активов уже восполнено, и опубликовала доказательства резервов по некоторым основным активам. 3 ноября Binance объявила о дальнейшем восстановлении вывода средств по большему числу активов и сетей; расследование безопасности продолжается.