Mistři kryptoměnového zločinu

Ve vietnamské počítačové hře Axie Infinity můžete chovat animované příšerky podobné pokémonům, vyměňovat je a bojovat s nimi, abyste si vydělali kryptoměny, například digitální token z této hry s názvem Smooth Love Potion – v překladu Jemný nápoj lásky. Jednu dobu měla hra přes milion aktivních hráčů.

Počátkem loňského roku 2022 na blockchainovou síť, která udržuje v chodu virtuál­ní svět této hry, zaútočil severokorejský hackerský syndikát a uloupil kryptoměnu v hodnotě okolo 620 milionů dolarů. Zprávy o jedné z největších krypto­loupeží v dějinách potvrdila FBI a přislíbila, že „bude nadále rozkrývat a potírat (severokorejské) nezákonné aktivity – včetně kyberzločinu a krádeží kryptoměn –, jimiž si režim obstarává peníze“.

Úspěšné kryptoloupeže dokládají, že Severní Korea se v kyberprostoru stává čím dál vychytralejším útočníkem. Západní bezpečnostní agentury a společnosti věnující se kybernetické bezpečnosti považují zemi vedle Číny, Ruska a Íránu za jednu ze čtyř hlavních státních kybernetických hrozeb.

Podle odborného panelu OSN, který monitoruje uplatňování mezinárodních sankcí, financuje KLDR penězi z kyberzločinu část nepovolených raketových a jaderných programů. Anne Neubergerová, náměstkyně poradce amerického prezidenta pro kybernetickou bezpečnost, v červenci prohlásila, že Severní Korea „prostřednictvím kyberzločinu získává podle odhadů až třetinu prostředků na svůj raketový program“. Kryptoanalytická společnost Chainalysis zase odhaduje, že Severní Korea v prvních devíti měsících roku 2022 nakradla jen z decentralizovaných kryptoburz asi miliardu dolarů.

Zhroucení jedné z největších krypto­měnových burz FTX zkraje listopadu upozornilo svět, že se digitální trh vyznačuje zejména neprůhledností, chaotickou regulací a sklony k záchvatům spekulantského šílenství. Čím dál častější kryptoloupeže v režii Severní Koreje zase ukazují, že těmto trhům chybí relevantní mezinárodní regulace. Rozsah a promyšlenost hackerského útoku na Axie Infinity podle analytiků svědčí o tom, že Spojené státy a jejich spojenci velkým severokorejským kryptoloupežím vůbec nedokážou zabránit.

Z digitálního lupu se zatím podařilo získat zpět jen okolo 30 milionů dolarů. To když donucovací orgány ve spolupráci s kryptoanalytickými firmami vystopovaly část ukradených peněz propašovaných řetězcem decentralizovaných burz a „kryptomixérů“, softwarových nástrojů, které umějí zamíchat kryptoměnový majetek různých uživatelů a zamaskovat tak jeho původ.

Americké úřady v srpnu při jednom z mála zásahů od velké loupeže uvalily sankce na mixér Tornado Cash, který podle amerického ministerstva financí hacke­ři použili k vyprání ukradeného etherea v hodnotě přesahující 450 milio­nů dolarů. Spojené státy později označily tento krypto­mixér za nástroj, s jehož pomocí měli severokorejští hackeři podpořit domácí vývoj zbraní hromadného ničení.

Upozorňují také, jaké příležitosti neregulovaný svět kryptoměn nabízí mnoha dalším zlotřilým režimům a útočníkům po celé planetě. Odborníci varují, že problém se v následujících letech nejspíš ještě zhorší, protože dál roste míra decentralizace kryptoburz a za kryptoměny lze pořídit čím dál víc legálního i nelegálního zboží a služeb. „Regulace kryptoměnového světa není zdaleka dostačující,“ říká Allison Owenová, analytička z Centra pro studium finanční kriminality a bezpečnosti při britském institutu RUSI. „Státy postupují správným směrem, ale Severní Korea bude v obcházení sankcí i nadále kreativní.“

Úřad 39

Podobně jako některé komunistické režimy, na nichž byla KLDR dříve závislá, ale které o desítky let přežila, také její dynastická diktatura má bohatou zkušenost s kriminální činností jakožto zdrojem zahraniční měny.

V sedmdesátých letech tehdejší vůdce Kim Ir-sen, dědeček současného vůdce Kim Čong-una, pověřil svého syna Kim Čong-ila, aby uvnitř vládnoucí Strany práce vytvořil buňku, jež měla pro zakladatelskou rodinu obstarávat peníze. Vzniklý Úřad 39 byl jedním z řady subjektů, které režim vytvořil k získávání miliard dolarů ročně prostřednictvím nekalých aktivit, od výroby a distribuce padělaných cigaret a dolarových bankovek až po prodej nelegálních drog, nerostů, zbraní, a dokonce i vzácných druhů zvířat.

Severokorejští úředníci, diplomaté, špioni a nejrůznější agenti dostali za úkol rozvíjet tuto nezákonnou stínovou ekonomiku, dodnes fungující díky složité síti skořápkových firem, finančních institucí, zahraničních brokerů a skupin organizovaného zločinu, které zemi pomáhají zbrojit a obcházet sankce.

V rámci projektu spuštěnému na přelomu osmdesátých a devadesátých let, kdy režim dynastie Kimů usiloval o rozvoj vznikajícího programu jaderných zbraní, Pchjongjang už také několik desítek let buduje obrovské kybernetické kapacity. Severokorejští uprchlíci vyprávěli, že Kim Čong-il považoval počítačové sítě za efektivní nástroj k řízení režimního úřednictva z ústraní. Viděl v nich také platformu vhodnou pro podporu vývoje jaderných a konvenčních zbraní v zemi.

Podle knihy vydané severokorejskou armádou Kim Čong-il prohlásil, že „pokud je internet zbraň, kybernetické útoky jsou jako atomové bomby“. Teprve za vlády jeho syna Kim Čong-una, který nastoupil v roce 2011, však kybernetické schopnosti KLDR upoutaly mezinárodní pozornost.

Ačkoli omezený a přísně střežený přístup k internetu má jen okolo jednoho procenta severokorejské populace, státní hackerská armáda čítá zhruba sedm tisíc členů, kteří jsou vybíráni už během studia. Poté se školí a indoktrinují v elitních vládních institucích a někteří dokonce na zkušenou vyjíždějí do Číny a dalších zemí.

„Školí kybernetické talenty a posílají je do celého světa, kde je začleňují do tamních organizací, společnosti a kultury,“ říká Erin Planteová, viceprezidentka pro vyšetřování ve společnosti Chainalysis. „Po celém asijsko-pacifickém regionu jsou uvnitř technologické komunity rozesety nenápadné hackerské buňky.“

V roce 2014 severokorejští hackeři zaútočili na společnost Sony Pictures kvůli chystanému uvedení filmu Interview, hollywoodské komedie o smyšleném pokusu o atentát na Kim Čong-una. Shodili celou počítačovou síť studia a hrozili manažerům, že zveřejní citlivé a ponižující interní dokumenty.

O dva roky později následovalo vyloupení bangladéšské centrální banky. Členové skupiny Lazarus, téhož syndikátu, který stojí za útokem na Axie Infinity, se nabourali do počítačové sítě banky a celý rok sbírali informace, aby pak americké centrální bance v New Yorku zadali příkazy k odčerpání 951 milionů dolarů z bangladéšských státních rezerv.

Peníze odešly do banky na Filipínách. Tam byly identifikovány jen díky tomu, že jeden z příkazů obsahoval slovo, které se náhodou shodovalo s názvem jedné íránské lodi vedené na sankčních seznamech, což na celou věc upozornilo americké úřady. Hackeři nakonec pláchli s necelou desetinou lupu.

Severokorejští hackeři už předvedli i útočné schopnosti, když svým vyděrač­ským softwarem vyvolali celosvětovou paniku. V roce 2017 skupina Lazarus vypustila ničivý virus WannaCry, který infikoval přinejmenším 200 tisíc počítačů v nemocnicích, ropných společnostech, bankách a dalších organizacích po celém světě.

Transakce ve zmíněné hře Axie Infinity probíhaly prostřednictvím sítě Ronin, takzvaného cross-chainového mostu, který měl být výborně zabezpečený. Hackeři se zmocnili pěti z devíti soukromých klíčů, citlivých digitálních údajů, které jim umožnily schválit převod peněz ve svůj vlastní prospěch.

Podle Nilse Weisenseeho, experta na kybernetickou bezpečnost z jihokorejské monitorovací služby NK Pro, útok na Axie Infinity ukazuje, jak dnes severokorejští hackeři umějí „zneužít nová zranitelná místa v moderních blockchainových technologiích téměř okamžitě potom, co se objeví“.

„Ještě před pár lety se severokorejští hackeři specializovali na takzvané DDoS útoky, při nichž servery obětí docela primitivně zahltíte síťovými požadavky,“ říká Weisensee. „Ale pokud je DDoS něco jako kybernetický útok baseballovou pálkou, pak úspěšné přepadení cross-chai­nového mostu, jako jsou Ronin nebo Horizon, odpovídá přibližně tomu, jako byste někomu ukradli peněženku dírou v kapse, o které ani netušil.“

Podle analytiků loupež v bangladéšské centrální bance ukázala, o kolik pracnější a časově náročnější je útok na tradiční finanční instituci. Severokorejští hackeři se nejprve infiltrovali do počítačové sítě banky, ale než se lupu zmocnili, shromažďovali v systému informace po dobu jednoho roku. Peníze převedli přes několik bank do kasin v Manile, kde potom agenti museli strávit několik vysilujících týdnů hraním karet, aby uloupené peníze dostatečně vyprali. Čisté peníze pak odesílali do Macaa a dál nejspíš do Severní Koreje.

Kryptoměny otevírají pro praní špinavých peněz nové možnosti. Aby hackeři na kryptoburzách nevzbudili pozornost, neprovádějí velké jednorázové vklady, ale používají „peel chain“, tedy dlouhý řetězec adres, pomocí kterého z velkého obnosu „odkrajují“ kousek po kousku. Podle obžaloby podané americkým ministerstvem financí v roce 2020 takto dva čínští občané převedli 67 milionů dolarů v bitcoinech ve prospěch severokorejských hackerů prostřednictvím celkem 146 transakcí.

„Blockchain je dítě internetu, takže se na internetu dočtete i všechno o jeho slabinách,“ upozorňuje Weisensee. „Potře­bujete jen chytré lidi a o ty Severní Korea nemá nouzi.“

Podle výzkumníků z Belferova centra pro vědu a mezinárodní záležitosti na Harvardově univerzitě Severní Korea kryptoměny získává také vlastní těžbou. Tu pohání elektřinou z uhelných zásob, které Pchjongjang kvůli sankcím OSN nemůže vyvážet. Výzkumníci uvádějí, že přechod etherea na energeticky mnohem úspornější mechanismus „proof of stake“ je sice krok šetrný k životnímu prostředí, ale mohl by KLDR, která trpí nedostatkem energie, dát šanci zvýšit příjmy generované kryptotěžbou.

Severní Korea rovněž zneužívá popularitu nezaměnitelných tokenů NFT, jimiž se prokazuje vlastnictví digitálních předmětů – ať už umělým nafukováním jejich ceny pomocí „wash tradingu“ (opakovaný nákup a prodej), využíváním NFT k praní uloupených peněz, nebo krádežemi metodou přesně zacíleného phishingu.

Podle obžaloby podané americkým ministerstvem spravedlnosti, jež byla zveřejněna v roce 2021, severokorejští hackeři provedli také nelegální primární emisi kryptoměny založené na podvodném blockchainu. Investorům při ní nabízeli digitální tokeny spojené s vlastnickým mikropodílem na severokorejské námořní flotile.

Weisensee dodává, že vzhledem k závratnému tempu vývoje blockchainových technologií dostávají severokorejští hackeři neustálé nové příležitosti k inovacím. „Slabina systému SWIFT, kterou zneužili při vyloupení bangladéšské centrální banky, se dá relativně snadno opravit – takovou operaci těžko půjde zopakovat,“ říká Weisensee. „Ale krypto se vyvíjí tak rychle a Severokorejci novinky sledují tak pozorně, že bývají o krok napřed před všemi, kdo se je snaží zastavit.“

Chyť mě, když to dokážeš

Rozpoznat a vysledovat metody, které severokorejští hackeři používají, není jednoduché. A zabránit jim v jejich použití je ještě těžší.

V roce 2018 američtí prokurátoři obvinili severokorejského hackera Park Čin-hjoka z útoků na Sony a bangladéšskou centrální banku, šíření viru WannaCry a mnoha dalších operací, jež měl provést ve prospěch Kimova režimu. „Tyto činy jsou v rozporu s přijatelnými normami chování v kyberprostoru a mezinárodní společenství je musí řešit,“ prohlásil John Demers, tehdejší náměstek ministra spravedlnosti pro národní bezpečnost. „Zákony platí i pro pracovníky zahraničních vlád.“

Analytici však připomínají, že ani Park, ani dva další severokorejští hackeři identifikovaní Spojenými státy v roce 2021 jako členové severokorejské vojenské rozvědky, ani žádný jiný občan KLDR nikdy nebyli postaveni před soud za účast na hackerských operacích nebo kybernetických loupežích.

Při stíhání zahraničních spolupracovníků Severní Koreje jsou USA o něco úspěšnější. Newyorský soud loni v dubnu poslal amerického kryptoměnového výzkumníka Virgila Griffitha na pět let do vězení za napomáhání KLDR při obchá­zení sankcí v souvislosti s jeho účastí na blockchainové konferenci v Pchjong­jangu v roce 2019.

Britský krypto­expert Christopher Emms, obviněný v USA jako jeden ze spoluorganizátorů konference, uprchl poté, co byl začátkem loňského roku zadržen v Saúdské Arábii. Nigerijský influencer známý pod pseudo­nymem Ray Hushpuppi zase loni v listo­padu dostal v USA jedenáctiletý trest za přípravu praní peněz ukradených severo­korejskými hackery z maltské banky v roce 2019.

Experti tvrdí, že Washington sice zakročil proti několika bankám, burzám a kryptomixérům, ale nic z toho zřejmě Severní Koreji nijak zvlášť nezabrání v tom, aby dál zneužívala celosvětový boom digitálních měn. Částečně za to může povaha této země. Ze čtyř „hlavních nepřátel v kyberprostoru“, jak státy označil Demers, je KLDR jedinou zemí, která je schopna či ochotna na podporu svých globálních kriminálních operací zmobilizovat celý státní aparát.

„Kdyby se některé větší země, které mají rozsáhlejší kybernetické kapacity, rozhodly krást kryptoměny, byly by mnohem úspěšnější než Severní Korea,“ míní Plante z Chainalysis. „Nemohou to však udělat, protože by poškodily svou pověst v legitimním globálním systému.“ K tomu dodává Weisensee: „Na rozdíl od Číny, Ruska a Íránu není KLDR zapojena do světového finančního systému a z ekonomického hlediska nemá téměř co ztratit.“

Jižní Korea se v říjnu poprvé zúčast­nila každoročního mezinárodního kyber­netického cvičení pořádaného Kyberne­tickým velitelstvím Spojených států,

a posílila tak vzájemnou spolupráci s USA v souvislosti s kyberútoky svého severního souseda. Analytici však upozorňují, že oplatit Severní Koreji její kybernetické operace není jednoduché vzhledem k tomu, jak malá část severokorejské společnosti a infrastruktury je k internetu připojená nebo na připojení závislá.

„Severní Korea představuje pro naši kritickou infrastrukturu potenciální hrozbu, ale těžko můžeme provést nějaká odvetná opatření s výjimkou totální kybernetické války,“ domnívá se Desmond Dennis, expert na kybernetiku a bývalý speciální agent FBI a Obranné zpravodajské služby USA. „Pchjongjang by něco takového zřejmě považoval za akt konvenční války, a to vedený proti státu, který disponuje jadernými zbraněmi.“

Pokud ovšem kryptoloupeže prozradily něco o povaze Severní Koreje, pak zároveň ukázaly, že kryptoměnám na celosvětové úrovni schází fungující regulace. „Podíváme-li se na sankce ve všech ostatních ekonomických oblastech, vidíme vysoce rozvinuté a jasně regulované trhy,“ říká Rohan Massey, společník v americké právní firmě Ropes & Gray. „Krypto je ale úplně nový typ majetku. Absence opravdového pochopení a právní regulace na celosvětové úrovni lze celkem snadno využít.“

Pozorovatelé si všímají znepokojivých trendů ve světě kryptoměn, jež Severokorejcům zřejmě budou nahrávat. Mimo jiné roste počet decentralizovaných burz, které se donucovacím orgánům dostávají hůře pod kontrolu, a dále jsou na vzestupu nové kryptoměny jako například monero, jejichž transakce je oproti bitcoi­nu mnohem těžší vysledovat.

I přes turbulence na trzích s kryptoměnami se někteří analytici domnívají, že bude za kryptoměny možné pořídit čím dál více zboží a služeb. Pokud se tato předpověď naplní, pro Severní Koreu bude podle Weisenseeho čím dál snazší obcházet tradiční finanční systém a USA spolu s dalšími zeměmi tak budou mít na KLDR méně pák.

„Je velmi pravděpodobné, že díky technologickému pokroku získáme větší přehled o tom, co Severní Korea dělá – ale něco úplně jiného je zabránit jí v tom,“ pokračuje Weisensee. „Už před několika roky se na darknetu daly za kryptoměny nakoupit díly na výrobu raketových střel – tak si představte, co půjde pořídit za pár let.“

Christian Davies, Scott Chipolina, FT