Хакеры Lazarus. Кибервойна Северной Кореи — от Голливуда до мировых финансов - Джефф Уайт

Транзакции в биткоинах проводятся переводом средств между цифровыми кошельками, у каждого из которых есть уникальный идентификатор — длинная строка из букв и цифр. Каждая транзакция между любыми кошельками публикуется в интернете на всеобщее обозрение (это называется «блокчейн»). Для валюты, которая стремится к анонимности, это может показаться нелогичным, но без этого система биткоина не работает. Над ней нет ни банка, ни государства, которые бы за ней следили, поэтому только сделав все транзакции публичными, можно гарантировать, что никто не смухлюет — например, не попытается одновременно отправить одни и те же средства на два разных кошелька. К тому же, утверждают приверженцы биткоина, даже если все идентификаторы кошельков и транзакции публичны, это ещё не значит, что раскрыты настоящие личности пользователей.

Но эта логика работает лишь до определённого предела. Например, если я попрошу вас заплатить мне на мой биткоин-кошелёк и сообщу его идентификатор, вы сможете связать этот идентификатор с моей реальной личностью. Конечно, я могу одним щелчком мыши завести новый кошелёк, но как только я переведу деньги с нового кошелька на старый или наоборот, это отразится в записях блокчейна — и вы сможете связать со мной и новый кошелёк.

Так что иногда транзакции можно проследить по этим публичным записям блокчейна и выйти на реального человека. Именно это я и попытался сделать с выкупами, которые заплатили создателям WannaCry.

Вы, возможно, помните, что в коде вируса было всего три идентификатора биткоин-кошельков, то есть все выкупы в итоге поступали на один из этих трёх кошельков. 3 августа 2017 года, через несколько недель после эпидемии WannaCry, в 3:00 по британскому времени все три кошелька за считаные минуты опустошили. С помощью блокчейна я смог проследить, куда ушли деньги. Погоняли они меня изрядно. Тот, кто выводил деньги, завёл десятки кошельков и быстро гонял через них биткоины (это цифровой вариант «расслоения» при отмывании денег. В криптовалютных кругах это называется «тумблинг» — перемешивание). Но благодаря записям блокчейна мне удавалось не отставать — правда, с трудом. Большая часть денег в итоге оказалась на одном-единственном кошельке, и после долгой работы мне наконец удалось связать его с конкретным человеком. Невероятно, но, судя по всему, кошелёк принадлежал парню из Кройдона, в Южном Лондоне. Неужели человек, стоящий за одной из самых разрушительных кибератак в мире, живёт от меня всего в одной поездке на автобусе? Даже для безумной истории WannaCry такой поворот казался слишком хорош, чтобы быть правдой. Так оно и оказалось. Этот человек не имел к взлому никакого отношения — его данные присвоил тот, кто отмывал деньги WannaCry.

На самом деле биткоин-кошелёк, на который пришли средства, принадлежал компании HitBTC. Это фирма, которая специализируется на обмене криптовалют вроде биткоина на «фиатные» валюты вроде фунта и доллара и обратно. У таких фирм есть биткоин-кошельки, через которые ежедневно проходят тысячи транзакций, — хорошее место, чтобы спрятать украденные деньги. Когда я обратился в HitBTC с вопросом, что случилось с деньгами WannaCry, мне не ответили, а вместо этого отослали к их «Политике противодействия незаконной деятельности». Похоже, в этом случае политика незаконную деятельность не остановила. Деньги WannaCry растворились в море цифровой наличности, плещущемся в HitBTC, и почти наверняка были выведены так, что отследить их теперь невозможно. Хакерам удалось чисто уйти с добычей. И если на то, чтобы собрать деньги, украденные у Банка Бангладеш, ушли месяцы, то здесь на всё понадобилось меньше сорока восьми часов.

Так что, похоже, смысл WannaCry был не обязательно в прибыли — это была репетиция ультрасовременного отмывания денег. Хакеры Lazarus освоили новый навык. Теперь они применят его, чтобы добыть суммы, на фоне которых ограбление Банка Бангладеш померкнет.

14

Старые трюки, новые деньги

Для исторического момента зрелище довольно невзрачное: ни красной ковровой дорожки, ни роскошного зала, ни флагов, ни фанфар. Лишь пятачок песчаной земли да несколько обшарпанных синих сборных домиков. Но именно здесь впервые за шестьдесят пять лет лидер Северной Кореи ступит на Юг — на землю смертельного врага. Место встречи — Пханмунджом, «деревня перемирия» в демилитаризованной зоне, которая разделяет две страны. Президент Юга Мун Чжэ Ин терпеливо ждёт, стараясь не заступить за бетонный бортик высотой пять сантиметров: этот бортик и есть граница между двумя государствами. Глядя на Муна, трудно не почувствовать всю нелепость подобных границ: как будто ребёнок играет, что перед ним непроницаемое силовое поле.

Наконец с северной стороны приближается Ким Чен Ын. Плотный строй охранников и сановников понемногу отстаёт, и вот он уже один шагает под солнцем в своём фирменном мешковатом чёрном костюме. Ступив на дорожку, которая ведёт к границе, он улыбается — широко и непринуждённо. Мун, тоже улыбаясь, протягивает руку. Ким пожимает её. А потом Мун приглашает его переступить разделительную линию. Силовое поле прорвано. Ким Чен Ын — в Южной Корее, на территории, которая десятилетиями была заклятым врагом его страны (пусть и всего на метр-другой). Не обходится и без неожиданной комедии: операторы с обеих сторон хотят снять рукопожатие на чистом фоне, но всё время мешают друг другу. Мун и Ким оказываются под перекрёстным огнём: телевизионщики кричат друг на друга и опрометью бросаются из кадра. Потом — ещё одна странная сцена: Ким, судя по всему, совершенно экспромтом берёт Муна за руку и ведёт обратно через бетонный бортик. Фотографы уже смеются, раздаются аплодисменты. The Washington Post ведёт прямую трансляцию на YouTube, и, когда оба возвращаются на южную сторону границы, один из зрителей оставляет в комментариях: #PEACEFORKOREA¹.

В тот момент эта мечта казалась, наверное, ближе, чем когда-либо за последние шесть десятилетий. Встреча в апреле 2018 года стала частью беспрецедентной оттепели в отношениях. В феврале того же года северокорейские спортсмены приехали на зимнюю Олимпиаду в Пхёнчхан, на Юг. На церемонии открытия они прошли вместе с южанами под флагом объединённой Кореи, а в женском хоккее даже выступили с ними одной командой². По сравнению с ожесточённым спором вокруг летней Олимпиады 1988 года в Сеуле, с которым некоторые связывали взрыв самолёта Korean Air, это выглядело поразительным прорывом.

В мае 2018 года Северная Корея согласилась взорвать часть туннелей, в которых проводила ядерные испытания, и кое-кто на Западе увидел в этом ещё один знак того, что страна наконец движется к компромиссу. Видео взрыва обнародовали, его показали новостные телеканалы по всему миру³.

Но вдали от камер северокорейские хакеры и не думали перековывать свои цифровые мечи на орала. Скорее наоборот. По данным ФБР, навыки работы с криптовалютой, освоенные во время атаки WannaCry, они теперь пустили в ход и загребали огромные деньги, совершая преступление за преступлением