W wiadomościach, które absolutnie nikogo nie zaskoczą, kto śledził karierę Lazarus Group, dwie główne firmy analityczne blockchain zidentyfikowały północnokoreańską państwową jednostkę hakerską jako prawdopodobnego sprawcę ataku na Binance, największą giełdę kryptowalut na świecie, o wartości 6,3 mld dolarów (4,7 mld funtów). TRM Labs i Chainalysis twierdzą, że mają "wysoką pewność" co do przypisania winy, co w języku analityków oznacza "jesteśmy prawie pewni, ale nie powiemy, że to na pewno oni, dopóki ktoś nie napisze pamiętnika".

Lazarus Group, znana również jako TraderTraitor – nazwa brzmiąca jak odrzucony złoczyńca z Marvela – była powiązana z długą listą cyberprzestępstw. Korea Północna, jeden z najbiedniejszych krajów świata i miejsce, gdzie dostęp do internetu jest poważnie ograniczony dla zwykłych obywateli, od dawna jest oskarżana o finansowanie się za pomocą cyberprzestępczości. Pjongjang temu zaprzecza, przypuszczalnie z kamienną twarzą i bardzo bezpiecznym serwerem.

Podczas gdy atak na Binance jest sprawą finansową, najbardziej spektakularny podejrzewany cyberatak reżimu zdecydowanie nie był. W 2014 roku Sony Pictures stało się celem z powodu hollywoodzkiego filmu *The Interview*, który zawiera fabułę zamachu na Kim Dzong Una. Atak ujawnił tysiące kompromitujących e-maili wymienianych między czołowymi dyrektorami studia – przypomnienie, że czasami najbardziej niszczycielską bronią jest po prostu naprawdę dokładne przeszukanie skrzynki odbiorczej.

W zeszłym roku Federalne Biuro Śledcze (FBI) stwierdziło, że Korea Północna była odpowiedzialna za kradzież 1,5 mld dolarów na giełdzie Bybit. Po tym incydencie agencja podała, że TraderTraitor szybko przystąpiła do prania i rozpraszania skradzionych aktywów, konwertując je na Bitcoiny i inne aktywa cyfrowe w celu ostatecznego zamienienia ich na twardą walutę. FBI ogólnie oskarżyło Koreę Północną o "nielegalną cyberprzestępczość i działalność związaną z kradzieżą wirtualnych aktywów" – fraza, która obejmuje mnóstwo grzechów i przynajmniej jeden atak na Sony.

Korea Północna systematycznie rozwijała swoje operacje cybernetyczne, rekrutując najbardziej obiecujących studentów z uniwersytetów i kierując ich do grup hakerskich nadzorowanych przez agencję wywiadowczą kraju, według doniesień. Część prowadzonej cyberwojny odbywa się tuż za granicą kraju w Chinach, według analiz grup technologicznych – bo po co hakować z domu, skoro można dojeżdżać?

Wiele działań hakerskich koncentrowało się na zysku finansowym. Północnokoreańscy hakerzy są również podejrzani o kradzież kryptowalut o wartości 620 mln dolarów w 2022 roku. W tym najnowszym napadzie agenci północnokoreańscy są oskarżeni o użycie specjalnej autoryzacji, aby zamienić gorący portfel Binance – podłączony do internetu – w taki, który automatycznie przenosił środki do atakującego. TRM stwierdziło, że prawdopodobnie atakujący uzyskał dostęp do systemu podpisywania gorącego portfela Binance w ramach schematu.

Binance nie odpowiedział bezpośrednio na zapytania BBC dotyczące potencjalnych powiązań incydentu z tym obszarem. Firma początkowo twierdziła, że uważa, iż laptop inżyniera został zhakowany, co pozwoliło na nieautoryzowane wypłaty, ale później stwierdziła, że atak był szerszy. "Nasze późniejsze śledztwo ujawniło dodatkowe punkty naruszenia" – powiedział współdyrektor generalny Binance Richard Teng, przypuszczalnie wpatrując się w bardzo duży arkusz kalkulacyjny z brakującymi pieniędzmi.

Około 80% skradzionych aktywów zostało zabezpieczonych, powiedział rzecznik Binance w piątek, ale reszta pozostaje nieodnaleziona – pokaźna suma, która przypuszczalnie jest prana poprzez serię coraz bardziej kreatywnych transakcji kryptowalutowych.

Jeśli oskarżenia są prawdziwe, rekordowy napad pokazuje, jak potężni stali się podejrzewani północnokoreańscy hakerzy – znak, że narzędzia hakerskiego fachu stały się ostrzejsze. Eksperci twierdzą, że rozwój sztucznej inteligencji dał również aktorom zagrożeń nowe sposoby na popełnianie przestępstw, poprzez automatyzację i inne środki. W tym przypadku jest prawdopodobne, że AI zostało użyte do infiltracji systemów Binance. Jak ujęło to Chainalysis, atakujący użył wzorców prania "których wcześniej nie widzieliśmy" – co jest albo mrożącym krew w żyłach ostrzeżeniem, albo komplementem.