Cyfrowy cień Korei Północnej – jak reżim Kima finansuje swoje ambicje nuklearne?

W świecie, gdzie granice między bezpieczeństwem narodowym a cyberprzestrzenią zacierają się z każdym dniem, pojawia się nowy wymiar globalnych zagrożeń. Przywódcy największych gospodarek świata przygotowują się do podjęcia tematu, który jeszcze dekadę temu brzmiałby jak scenariusz filmu science fiction – państwowego hakowania kryptowalut na skalę przemysłową.

Nadchodząca debata na szczycie G7

Liderzy państw grupy G7 rozważają włączenie problemu północnokoreańskich cyberataków na giełdy kryptowalutowe do agendy czerwcowego szczytu w Kanadzie2. Według źródeł zaznajomionych z planami spotkania, skala działań Pjongjangu w cyberprzestrzeni została określona jako „alarmująca”, szczególnie ze względu na ich bezpośredni związek z finansowaniem reżimu2.

Choć ostateczna agenda nie została jeszcze sfinalizowana, a konflikty takie jak wojna w Ukrainie mogą otrzymać priorytet, rosnące zagrożenie ze strony północnokoreańskich hakerów staje się zbyt poważne, by je ignorować2. Przedstawiciel Białego Domu już wcześniej potwierdził, że Korea Północna wykorzystuje skradzione kryptowaluty do finansowania programów broni masowego rażenia i rakiet balistycznych2.

Rekordowy atak na ByBit – największa kradzież w historii

W lutym 2025 roku świat kryptowalut doświadczył bezprecedensowego ataku. Hakerzy powiązani z północnokoreańską grupą Lazarus wykradli z giełdy ByBit kryptowaluty o wartości 1,5 miliarda dolarów, przeprowadzając największy tego typu atak w historii125.

Eksperci z firmy Chainalysis określili to włamanie jako rekordowe – wartość skradzionych aktywów przewyższyła łączną sumę 47 kradzieży kryptowalut z całego 2024 roku5. Dla porównania, w latach 2017-2023 Korea Północna przeprowadziła 58 cyberataków, głównie na firmy kryptograficzne, kradnąc około 3 miliardy dolarów w walutach cyfrowych5.

Wyścig z czasem – pranie cyfrowych pieniędzy

Po dokonaniu kradzieży rozpoczął się prawdziwy wyścig z czasem. Północnokoreańscy hakerzy pracują praktycznie bez przerwy, wykorzystując zaawansowane narzędzia i wieloletnie doświadczenie, by zatrzeć ślady i wyprowadzić skradzione środki poza zasięg organów ścigania1.

„Każda chwila jest kluczowa dla hakerów próbujących zamazać ślad finansowy, a poziom ich wyrafinowania jest bardzo wysoki” – stwierdził dr Tom Robinson, współzałożyciel firmy analitycznej Elliptic1.

Według najnowszych danych, hakerzy zdołali już wyprowadzić i ukryć co najmniej 300 milionów dolarów (232 miliony funtów) ze skradzionych środków1. Eksperci z ByBit potwierdzają, że około 20% skradzionych funduszy „zniknęło z radarów”, co czyni ich odzyskanie praktycznie niemożliwym1.

Ewolucja technik prania kryptowalut

Północnokoreańscy hakerzy nieustannie dostosowują swoje metody do zmieniających się warunków. Początkowo przekierowywali skradzione Ethereum przez sieci takie jak Binance Smart Chain i Solana, jednak obecnie większość środków jest bezpośrednio konwertowana na Bitcoin3.

Co ciekawe, mimo szybkiego przemieszczania aktywów, większość przekonwertowanych Bitcoinów pozostaje w dużej mierze nieruchoma, co sugeruje przygotowania do masowej likwidacji lub dalszego ukrywania poprzez sieci pozagiełdowe (OTC)3.

Zmiana taktyki prania pieniędzy odzwierciedla rosnące uzależnienie Korei Północnej od mostów międzyłańcuchowych i strategii transakcji o dużej objętości3. W poprzednich atakach północnokoreańscy hakerzy wykorzystywali platformy takie jak Ren Bridge i Avalanche Bridge, często konwertując środki na Bitcoin przed zastosowaniem mikserów takich jak Sinbad, YoMix, Wasabi Wallet i CryptoMixer3.

Jednak ze względu na zwiększoną kontrolę usług miksujących i działania egzekucyjne przeciwko platformom takim jak Tornado Cash, Korea Północna obecnie wydaje się priorytetowo traktować szybkość i automatyzację kosztem tradycyjnej anonimowości3.

Technika „zalania strefy”

Według Nicka Carlsena, eksperta ds. Korei Północnej w TRM i byłego specjalisty FBI, „atak na ByBit wskazuje, że reżim intensyfikuje swoją technikę 'zalania strefy’ – przytłaczając zespoły ds. zgodności, analityków blockchain i organy ścigania szybkimi transakcjami o wysokiej częstotliwości na wielu platformach, komplikując w ten sposób wysiłki śledzenia”3.

Ta strategia polega na generowaniu tak dużej liczby transakcji w krótkim czasie, że zespoły monitorujące nie są w stanie nadążyć z ich analizą, co umożliwia skuteczniejsze ukrycie skradzionych środków.

Północnokoreańscy hakerzy – największe zagrożenie dla sektora finansowego

Korea Północna stała się największym państwowym zagrożeniem dla sektora usług finansowych4. W przeciwieństwie do innych państwowych przeciwników cybernetycznych Stanów Zjednoczonych i Korei Południowej, takich jak Chiny czy Rosja, które zazwyczaj atakują agencje rządowe i instytucje demokratyczne, Pjongjang poświęca znaczną część swoich zasobów cybernetycznych na eksploatację globalnego rynku finansowego, ze szczególnym uwzględnieniem kryptowalut4.

Od połowy lat 80. Pjongjang systematycznie zwiększał swoje ofensywne zdolności cybernetyczne poprzez krajowe innowacje i wsparcie zagranicznych podmiotów, co zwiększyło jego zdolność do przeprowadzania destrukcyjnych i zakłócających cyberataków4.

Lazarus Group – elitarna jednostka hakerska

Za atakiem na ByBit stoi niesławna grupa Lazarus, północnokoreańska grupa hakerska, która była również odpowiedzialna za atak na Sony Pictures w 2014 roku6. Rząd Korei Północnej regularnie wykorzystuje grupę Lazarus, prawdopodobnie działającą pod nadzorem Biura Generalnego Wywiadu, do przeprowadzania zakrojonych na szeroką skalę ataków ransomware w celu generowania funduszy na program nuklearny i rakietowy kraju6.

Północnokoreańscy hakerzy stali się mistrzami w kradzieży kryptowalut; w 2024 roku ponad tuzin firm kryptograficznych zostało zinfiltrowanych przez północnokoreańskich hakerów, którzy podszywali się pod legalnych pracowników IT, aby uzyskać dostęp do wewnętrznych informacji i systemów6. Szacuje się, że grupa Lazarus ukradła co najmniej 3,4 miliarda dolarów w kryptowalutach od momentu powstania w 2007 roku, tworząc znaczące źródło dochodów dla północnokoreańskiego rządu6.

Implikacje dla globalnego systemu finansowego

Znaczące rezerwy kryptowalutowe Korei Północnej budzą dodatkowe, długoterminowe obawy. Nie tylko izolują reżim od ekonomicznych skutków sankcji USA i ONZ, ale także pozycjonują Koreę Północną na wykorzystanie chińskich i rosyjskich wysiłków zmierzających do zbudowania alternatywnych architektur finansowych i systemów płatności, które nie opierają się na zachodnich bankach i systemie finansowym opartym na dolarze amerykańskim5.

Obecnie, aby wyprać kryptowaluty na tradycyjne pieniądze, Korea Północna nadal musi maskować swoje działania, aby wchodzić w interakcje z zachodnimi instytucjami finansowymi. W przyszłości, jeśli Korea Północna będzie mogła działać wyłącznie za pomocą rosyjskich i chińskich sieci, Stany Zjednoczone i ich sojusznicy stracą możliwość nakładania finansowych kosztów na reżim Kim Dzong Una za jego złośliwe działania5.

Podsumowanie i refleksje

Cyberataki Korei Północnej na giełdy kryptowalutowe stanowią fascynujący, choć niepokojący przykład adaptacji państw-pariasów do cyfrowej ery. Reżim Kim Dzong Una, odcięty od globalnego systemu finansowego przez sankcje, znalazł w cyberprzestrzeni nowe pole działania, które pozwala mu finansować programy zbrojeniowe mimo międzynarodowej izolacji.

Jak trafnie zauważył John Demers, były asystent prokuratora generalnego USA ds. bezpieczeństwa narodowego: „Korea Północna przekształciła swoje zdolności hakerskie z narzędzia szpiegowskiego w maszynę do zarabiania pieniędzy. To pierwszy przypadek w historii, gdy państwo wykorzystuje cyberprzestępczość jako główne źródło finansowania”.

Nadchodząca dyskusja na szczycie G7 może być przełomowym momentem w globalnej odpowiedzi na to zagrożenie. Jednak skuteczne przeciwdziałanie będzie wymagało bezprecedensowej współpracy międzynarodowej, innowacyjnych rozwiązań technologicznych i fundamentalnego przemyślenia architektury bezpieczeństwa cyfrowych aktywów.

W świecie, gdzie granice między bezpieczeństwem narodowym, finansami i cyberprzestrzenią stają się coraz bardziej płynne, historia północnokoreańskich cyberataków na kryptowaluty może być zapowiedzią nowej ery konfliktów, w której bitwy toczone są nie na polach walki, ale w ciszy serwerowni i na łańcuchach bloków.

Dane techniczne i przydatne linki

• Wartość największego ataku: 1,5 miliarda dolarów (atak na ByBit, luty 2025)

• Łączna wartość skradzionych kryptowalut przez Koreę Północną (2017-2023): około 3 miliardy dolarów

• Liczba cyberataków przeprowadzonych przez Koreę Północną (2017-2023): 58

• Główna grupa hakerska: Lazarus Group (działająca od 2007 roku)

Przydatne linki:

• Analiza ataku na ByBit: www.trmlabs.com/resources/blog/the-bybit-hack-following-north-koreas-largest-exploit

• Raport o północnokoreańskich cyberzagrożeniach: www.cnas.org/publications/commentary/why-north-korea-is-the-greatest-state-sponsored-threat-to-the-financial-services-sector

• Analiza FDD o praniu kryptowalut przez Koreę Północną: www.fdd.org/analysis/policy_briefs/2025/03/07/north-korean-hackers-launder-1-5-billion-largest-crypto-heist-in-history/

• Raport CSIS o wpływie ataku na ByBit na regulacje kryptowalut: www.csis.org/analysis/bybit-heist-and-future-us-crypto-regulation