Il gruppo Lazarus ha finanziato l'intero programma nucleare della Corea del Nord con criptovalute rubate

Le armi nucleari della Corea del Nord non sono finanziate dal carbone o dalle tasse. Sono alimentate da criptovalute rubate. Il 18 luglio 2024, l'unità di hacking principale del governo nordcoreano, il gruppo Lazarus, ha violato WazirX, la più grande borsa di criptovalute dell'India.

In poco più di un'ora, sono scomparsi con più di 200 milioni di dollari, muovendosi più velocemente di qualsiasi risposta umana potesse tenere il passo. Hanno gestito l'operazione come una campagna militare. Il furto di WazirX è uno dei molti operazioni direttamente collegate a Lazarus.

Con più di 6 miliardi di dollari rubati negli ultimi dieci anni, il gruppo è diventato il più pericoloso ladro di criptovalute al mondo e, secondo un rapporto del Wall Street Journal, il loro lavoro aiuta a mantenere in funzione il regime di Kim Jong Un e a finanziare un programma nucleare che ora procede avanti nonostante le pesanti sanzioni internazionali.

Lazarus è composto dalle menti più brillanti della Corea del Nord

Benedict Hamilton, managing director di Kroll, l'azienda che sta aiutando WazirX a tracciare il furto, ha detto che la velocità e l'automazione del team suggeriscono che i fondi sono probabilmente già stati convertiti in contanti.

Con quasi la metà dei suoi asset cancellati, la borsa ha dovuto chiudere. Un portavoce di WazirX avrebbe detto che stanno cercando di recuperare i fondi degli utenti e rilanciare il prima possibile.

Le menti migliori di Pyongyang sono collocate all'interno di Lazarus e non hanno fretta. Passano mesi—o anni—a esplorare i bersagli, creare profili falsi e cercare una sola apertura.

Per entrare nei sistemi aziendali, esaminano le pagine Instagram, LinkedIn e Facebook dei dipendenti, poi costruiscono truffe personalizzate per indurli a cliccare su link infetti.

Alcuni membri di Lazarus si candidano persino per lavori remoti in aziende tecnologiche statunitensi con identità false, superano i colloqui e lavorano all'interno dei sistemi per ottenere l'accesso. Queste operazioni sono sostenute dallo stato e gestite come campagne militari.

Il furto di criptovalute è l'unica attività funzionante della Corea del Nord

A febbraio, naturalmente, Lazarus ha portato a termine il suo più grande furto fino ad oggi—1,5 miliardi di dollari da Bybit, una delle più grandi borse di criptovalute al mondo. Solo nel 2024, la Corea del Nord è stata responsabile di più di 6 dollari su ogni 10 rubati in tutto il settore delle criptovalute, basandosi sui dati di tracciamento di Chainalysis.

Il paese ha costruito un intero esercito cibernetico per questo. Ci sono più di 8.000 hacker a tempo pieno, organizzati in gruppi di stile militare e supportati da dozzine di dipartimenti più piccoli, secondo il Journal.

I bambini che mostrano promesse in matematica o scienza vengono reclutati precocemente e addestrati. Non hanno lavori secondari. Lavorano all'hacking a tempo pieno.

La maggior parte di loro vive meglio di altri cittadini. Ma sono anche sotto costante pressione. Elma Duval, che ha co-autorato un rapporto dal gruppo di advocacy con sede a Seoul PScore, ha intervistato ex lavoratori IT che hanno detto che gli hacker vengono puniti fisicamente se falliscono.

Kim Jong Il, il defunto dittatore, una volta disse che le guerre future sarebbero state combattute con i computer e, sotto il regime di suo figlio, quella visione è diventata una strategia nazionale.

Con le fonti tradizionali di denaro come i trattati d'armi, il contrabbando di carbone e il lavoro estero schiacciate dalle sanzioni internazionali, la Corea del Nord ha dovuto trovare una nuova fonte di reddito. La sua agenzia di spionaggio stima che il paese abbia bisogno di circa 6 miliardi di dollari ogni anno, inclusi centinaia di milioni per le sue armi nucleari.

Il furto di criptovalute è veloce, economico e difficile da tracciare. Pyongyang non ha mai assunto pubblicamente la responsabilità di nessuno di questi attacchi. Ma i funzionari statunitensi hanno detto che Lazarus continua a lasciare dietro di sé malware identificabile, insieme a portafogli riutilizzati da hack precedenti.

Anche se cercano di scomparire, le impronte digitali sono sempre lì. Questo è lo stesso gruppo che le agenzie statunitensi hanno accusato per l'hack di Sony nel 2014, il furto della banca centrale del Bangladesh nel 2016 e l'attacco ransomware WannaCry nel 2017.

Lazarus ora sta prendendo di mira ETF cripto e candidati al lavoro

L'FBI ha lanciato allarmi a settembre che Lazarus stava esaminando aziende collegate a fondi negoziati in borsa (ETF) sulle criptovalute. Questa parte del mercato ha registrato afflussi di 37 miliardi di dollari solo l'anno scorso, con persone che investono in fondi di BlackRock, Fidelity e altri. Gli hacker stavano utilizzando email infette da malware personalizzate per ogni vittima.

A dicembre, un tribunale statunitense ha incriminato 14 nordcoreani per aver rubato identità americane e ottenuto posti di lavoro in aziende tecnologiche e organizzazioni non profit statunitensi. Questi membri di Lazarus si definivano "guerrieri IT" e sono riusciti a guadagnare 88 milioni di dollari in stipendi, tutti inviati direttamente alla Corea del Nord. I lavori loro garantivano un accesso diretto ai sistemi e ai dati aziendali.

Diverse aziende di criptovalute hanno confermato di essere state colpite da candidati falsi. Ben Turner, capo dell'ingegneria presso Cloudburst Technologies, un'azienda di intelligence sulle criptovalute, ha dichiarato: "La sensazione che abbiamo è che gli hacker nordcoreani siano sempre più presenti intorno a noi". Il suo team ha segnalato un aumento significativo di candidature sospette.