Криптовалютная биржа Binance, крупнейшая в мире, в конце октября стала жертвой масштабной кражи. Всего за 20 минут было похищено примерно 6,36 млрд долларов США (4,74 млрд фунтов стерлингов). Этот инцидент уже называют крупнейшим подобным взломом в истории.

Официально источник атаки пока не подтвержден. Однако ФБР и аналитическая блокчейн-компания TRM Labs указали на северокорейское хакерское подразделение TraderTraitor как на наиболее вероятного организатора. Эту оценку поддержали и другие компании, занимающиеся анализом блокчейна, — Chainalysis и Elliptic.

Для Северной Кореи подобные обвинения давно стали привычными. В последние годы страну неоднократно связывали с кражами на криптобиржах, которые, по данным расследований, могли совершать поддерживаемые государством хакеры. Среди самых громких эпизодов — взлом Upbit в 2019 году, когда были похищены средства на 42 млн долларов, и атака на Bybit в 2025 году, в результате которой исчезли активы на 1,5 млрд долларов.

Пхеньян неизменно отрицает причастность к государственным кибервойнам, но каждый новый крупный инцидент снова возвращает внимание к северокорейской киберугрозе.

Развитие этих операций началось не вчера. Киберпрограммы Северной Кореи формировались десятилетиями. Еще в 1980-х годах государство начало закладывать технологическую базу: развивало собственную вычислительную инфраструктуру, создавалo специализированные учебные заведения и исследовательские центры под контролем государства.

В 1990-х этот процесс ускорился. В 1990 году был создан Korea Computer Center, который должен был курировать развитие национальных IT-технологий. А в 1995 году тогдашний лидер Ким Чен Ир распорядился, чтобы армия развивала киберспособности как стратегический элемент национальной обороны.

С 1998 года компьютерное образование стало обязательным для всех учащихся с четвертого года средней школы, что окончательно закрепило подготовку IT-кадров в государственной системе.

Первые крупные кибератаки Северная Корея начала проводить в 2000-х годах. На раннем этапе их главной целью была Южная Корея. Но со временем география операций расширилась далеко за пределы Корейского полуострова. Одним из самых известных примеров стала атака WannaCry в 2017 году.

Она затронула компьютеры под управлением Microsoft Windows и требовала выкуп в биткоинах. По оценкам, пострадали более 300 000 компьютеров в 150 странах, а общий ущерб составил миллиарды долларов.

Северокорейская система подготовки киберкадров выстроена очень жестко. Все начинается с отбора талантливых школьников, особенно сильных в математике и естественных науках. Затем их направляют на специализированное обучение в элитную школу Kumsong Middle School в Пхеньяне.

После этого наиболее успешные ученики продолжают обучение в одном из нескольких вузов, включая Mirim College, Moranbong College, Kim Il Sung University или Kim Chaek University of Technology. Там они проходят программы, сочетающие военную подготовку с продвинутыми кибернавыками.

По оценкам на 2024 год, через эти программы Северная Корея подготовила около 8400 специалистов для поддерживаемых государством киберопераций. И, вероятно, это число уже выросло.

Инвестиции в подготовку таких кадров объясняются вполне конкретными стратегическими целями. На раннем этапе северокорейские кибератаки были направлены прежде всего на создание социальной нестабильности в странах, которые Пхеньян считает враждебными.

Яркие примеры — атака DarkSeoul в 2013 году и кибератака на Korea Hydro & Nuclear Power в 2014 году. В случае DarkSeoul вредоносное ПО вывело из строя около 32 000 компьютеров крупных южнокорейских вещательных компаний и финансовых учреждений. Атака на Korea Hydro & Nuclear Power сопровождалась кражей и публикацией персональных данных сотрудников, чертежей атомных электростанций и технической документации.

Обе операции были нацелены на дестабилизацию критически важных систем и создание общественной тревоги. При этом Северная Корея добивалась давления на противников, не вступая в прямое военное противостояние.

В последние годы акцент сместился. Теперь кибероперации Северной Кореи все чаще используются для заработка. Это часть более широкой стратегии по поддержанию стабильности режима и финансированию ядерной программы на фоне многолетних международных санкций.

В 2024 году группа экспертов ООН оценила, что средства, украденные в ходе северокорейских кибератак, обеспечивают половину валютных доходов страны. Один из членов группы добавил, что на похищенные деньги финансируется «40% программ по оружию массового уничтожения».

Для противодействия северокорейским кибероперациям уже действует ряд мер: финансовые санкции, международные усилия по борьбе с отмыванием средств, а также сотрудничество правительств с частным сектором для обмена разведданными, выявления подозрительных транзакций и отслеживания похищенной криптовалюты.

Но этих мер пока недостаточно. Одна из главных причин в том, что расследования и правоприменение ограничены национальными юрисдикциями и вопросами суверенитета. Как и в физическом мире, одна страна не может просто получить доступ к данным или провести расследование на территории другой без ее согласия. К тому же цифровые доказательства можно быстро удалить или изменить, что осложняет оперативный ответ.

Полностью остановить северокорейские кибероперации, вероятно, нереально. Но можно сделать их менее прибыльными и более сложными. Среди возможных шагов — ужесточение процедур проверки личности, чтобы северокорейские IT-специалисты не могли устраиваться на работу по поддельным документам. Не менее важно улучшать обмен информацией между государствами и частными компаниями, а также усиливать киберустойчивость организаций.

В конечном счете задача состоит не только в том, чтобы предотвращать атаки, но и в том, чтобы разрушать сети, которые делают их возможными, сокращать финансовую выгоду и уменьшать ущерб.