朝鲜黑客是怎么“制造”出来的？

按：近日币安被朝鲜黑客拉撒路集团（Lazarus Group）分支窃取了64亿美元，让世界目光再次聚焦拉撒路集团（Lazarus Group）这一神秘朝鲜国家级黑客组织。

在物资和电力匮乏、与世隔绝的朝鲜，它们是如何演进出来的？它们是怎么制造出如此绝顶聪明、手法刁钻的计算机高手的?又是如何窃取数十亿美元的？

专门拍摄犯罪和地缘政治题材纪录片的Cipher在2025年就制作了一部纪录片，全面揭秘了拉撒路集团（Lazarus Group）。

纪录片名为“How North Korean Hackers Are Stealing Billions”。

引言

这期视频讲的是世界上最危险的黑客组织的来历、运作方式与罪行。

他们用过很多名字：隐秘眼镜蛇（Hidden Cobra）、和平卫士（Guardians of Peace）、尼克学院（Nickel Academy），但最臭名昭著的一个是——拉撒路集团（Lazarus Group）。

拉撒路集团自 2009 年起就开始活动。

他们破坏过医院，渗透过电影公司，抢劫过银行，动摇过政府，最近还实施了有史以来规模最大的加密货币盗窃。

但这些攻击并非随机。每一桩都指向同一个出人意料的地方。

在大多数人眼里，朝鲜不过是一个神秘而贫穷的国家：人们为基本生活所需而挣扎，电力匮乏，互联网几乎不存在。

但在执法部门眼中，朝鲜有完全不同的一面：这个国家拥有世界上组织最严密、最执着、最危险的国家支持型黑客团队。

可这是怎么做到的？朝鲜如何打造出地球上最先进的网络部队？他们怎样训练和招募特工？他们真正的目标是什么？

要理解拉撒路集团，就像解开一道复杂的谜题。回答这些问题，需要从数十起网络犯罪、随之而来的调查，以及支撑拉撒路集团运作的全球网络——银行、慈善家、赌厂，甚至网红——中拼凑线索。

可当你终于把点连成线，会发现一件令人极度不安的事：这个故事远不止一群不法黑客，而是一个国家的故事——这个国家的悲惨历史，把它塑造成了世界上前所未见的、规模最大也最精密的犯罪集团。

第一章｜隐士之国

朝鲜是世界上最不被理解的国家之一。西方媒体常把它描绘成一个残暴的威权政权，由一位近乎神明的统治者统治，大规模审查、饥饿与人权侵犯司空见惯。这些说法大多属实，但更深层的问题——"为什么"——却常常被忽略。

要理解拉撒路集团，我们也必须理解朝鲜复杂而悲惨的历史。

就从 1945 年 8 月 9 日上午 11 点 02 分的日本说起。美国在长崎投下原子弹六天后，日本帝国无条件投降。第二次世界大战终于结束。

朝鲜半岛此前已在日本统治下统一了 35 年，此时由同盟国占领，以协助其走出殖民统治。半岛北半部由苏联接管，南半部由美国接管，各自辖区沿三八线划分——一条笔直得近乎完美的想象界线，把半岛大致一分为二。

这种占领本应是暂时且友好的。美苏曾是盟友，但战争一结束，两国对未来的构想截然不同。当双方争相在全球巩固势力时，朝鲜被夹在了中间。

1948 年，三八线从一条想象中的线变成了真正的边界，一个曾经统一的民族分裂为两个敌对的国家：北方的朝鲜民主主义人民共和国，与南方的大韩民国。

双方的紧张立刻升级。南方拥抱资本主义，苏联则在北方扶植政权，掌舵者是金日成。

金日成究竟是怎样的人，取决于讲故事的人是谁。朝鲜官方宣传把他描绘成传奇的自由斗士，单枪匹马领导了反抗日本占领的运动。但历史记录讲的是另一个故事。金的确是抵抗运动的一员，但更重要的是：他可靠、是共产主义者、容易被神化——他是苏联手中完美的傀儡。

不过金日成也有自己的野心。从他掌权那一刻起，他就把在整个半岛实现共产主义统一定为朝鲜的国家使命。

1950 年，他发动突然进军，率约 7.5 万兵力越过三八线。韩国军队被打得节节败退，被压缩到半岛一隅。看来金日成实现统一梦想就在眼前。

但就在他推进得如此之快时，美国介入，在敌后纵深发动了一次大胆的反击。空袭中，美国人摧毁了朝鲜 85% 的建筑，包括住宅、医院，以及最关键的工厂。

到 10 月，美韩军队一路推进到中国边境。担心美军兵临门口，中国派出数十万士兵跨过边境，把战线推了回去。又经过两年血腥而疲惫的战争，超过两百万人丧生，朝鲜战争陷入僵局。

南北边界几乎没有变化，只多了一条所谓的非军事区——地球上军事化程度最高的地方之一。直到今天，严格来说，韩国及其盟友与朝鲜仍处于战争状态。

战后的朝鲜一片废墟。数百万人死去，基础设施成了瓦砾，几乎所有主要工业建筑都被摧毁。金日成现在必须从零重建这个残破的国家。

但他一刻也没耽误。1950 年代末到 60 年代初，金日成亲自对新工厂、矿山、公路、住宅、医院、学校和博物馆进行了 1300 多次现场视察。

按官方宣传的说法，经济正在腾飞，甚至超过了南方。朝鲜正在复苏，看起来是现代工业社会主义的样板。但实际上，其增长很大程度上靠苏联的慷慨贷款支撑。

然而，随着苏联与中国在各种问题上渐行渐远，金日成站到了中国一边——那个在战争中支持过他的国家。作为回应，苏联切断了援助，朝鲜经济的裂痕立刻显现。

金日成对被别国经济牵制的想法极为愤怒。于是他创造了一套新意识形态，永远地重塑了朝鲜社会。

"主体"（Juche），意为"自力更生"，主张朝鲜在政治、军事和经济上完全独立于外部世界。它成了金日成做出每一个决定时的透镜。

他让任何人——即便是外国盟友——进出朝鲜都越来越难。他禁绝一切外国媒体，驱逐外国的顾问，停止粮食进口，并通过不断的宣传，把人民驯化成把他当作活神来崇拜。

随着朝鲜与外部世界切断联系，它得到了一个新绰号：隐士之国。

对金日成来说，主体思想是个高尚的理念，但在实践中，要建立一个自给自足的朝鲜经济近乎不可能。

除了一些煤，这个国家几乎没有有价值的自然资源。近 80% 的国土是山地，不适合耕作——即便在理想气候下也不行，而它并没有理想气候。

毫不意外，主体思想让经济严重受损。短短几年间，数百万朝鲜人靠微薄的口粮维生。但由于政权的极端审查，他们大多数人根本不知道自己落后了多少。

金日成知道真相，却拒绝承认失败。公开场合他继续宣讲主体思想的福音；关起门来，他做的完全相反——再次向各国借入数十亿美元，只为让国家运转下去。

与此同时，韩国正朝着相反的方向前进。外资涌入，生活水平上升，一个新兴的全球强国正在崛起。

资本主义显然跑赢了，在亚洲尤其如此。中国正逐步转向更市场化的经济，与韩国的贸易额已超过与朝鲜的贸易。而随着朝鲜煤矿越来越难以开采，它最后几项可靠出口之一也开始枯竭，又一条收入来源被切断。

到这时，唯一支撑朝鲜的就是苏联的财政援助——它最大、最老、最重要的盟友。可苏联自身难保。1991 年，苏联解体，一夜之间，朝鲜的粮食短缺达到历史最高点。

政权把责任推给天气或美国的破坏，但人民得不到真正的解释。而金日成过着奢华的生活。年近八旬的他痴迷于延年益寿，转向伪科学。

金日成统治朝鲜近 50 年，熬过了九位美国总统。1994 年，他以 82 岁高龄去世，把儿子金zhengri留在一个几乎无解的处境中。

人民在挨饿，外部世界在远离，经济濒临崩溃。朝鲜急需改革。但不幸的是，它的命运在几十年前就已注定。

早在 1960、70 年代，金日成曾指示人民开垦山坡以增加粮食产量。听起来很实际：把每一块地都用来种粮。但为了执行命令，人们把山上的森林全部砍光，而那些地从未修成梯田。它们并不稳固。

1995 年夏天，巨型风暴袭击朝鲜半岛。没有树木固定土壤，朝鲜全境整片整片的山坡崩塌。泥土、庄稼和碎石冲进河里，把河道堵塞。由此形成的洪水漫入更多农田，甚至灌进煤矿，摧毁了朝鲜最后的能源来源之一。

没有别的办法取暖或做饭，人们开始砍更多树当柴烧，这让森林退化更严重，水土流失更严重，进而引发更多洪水。当更多风暴到来时，巨大的滑坡掩埋了整个村庄。

数十万房屋被毁，庄稼绝收，电力中断，交通瘫痪。但这只是开始。农田的毁坏引发了全面饥荒。

粮食已经没有了。而没有来自俄罗斯的化肥和燃料，连幸存的农田也无法耕种。

连朝鲜精英也未能幸免。灾难触及国家每个角落。金zhengri刚刚上台、未经考验、极度缺乏安全感，此刻面对的是朝鲜历史上最严重的危机。而他的应对只是让事情更糟。

他急于维持控制，害怕任何软弱的迹象都会引发叛乱。于是他加倍押注于他相信唯一能保护自己的东西：军队。

即便整座整座的城镇在挨饿、医院药品耗尽，军队仍获得了新武器、新兵员和新基地。

直到饥荒已持续数年的 1998 年，朝鲜才终于允许世界粮食计划署进入。他们看到的一切难以言说。

骨瘦如柴的孩子、空无一人的城镇、被毁的农田，一个支离破碎、濒临崩溃的国家。

然而不知怎的，尽管有债务、饥荒、洪水、崩溃的经济、军费上的挥霍无度，政府仍在运转。它仍在偿还部分国际债务。甚至连通货膨胀都不算严重。

用任何常规标准衡量，这都不亚于一个奇迹。朝鲜没有真正的经济：没有出口、没有贸易、没有工业、没有盟友。这个国家本该崩溃，可它依然站着。这就引出了一个大问题：怎么做到的？

在这场悲剧的某个时刻——或许还更早——朝鲜变了。它不再只是一个破碎的政权，而变成了某种全新的东西。

第二章｜超级美元

1989 年，菲律宾中央银行的一名现金处理员在清点一沓 100 美元钞票时，直觉告诉他有些地方不对。其中一张编号为 C14342 的钞票被送往美国特勤局进一步检验。

起初它看起来只是又一张假钞——美国每年查获数百万张——但并非如此。C14342 使用了与真钞相同的纸张、相同的油墨，甚至出自同一台印钞机。只有两处差异。

正面，本杰明·富兰克林肖像的边框与一条线之间有极细的缝隙；背面，一盏路灯底部的线条略粗。这张钞票逼真到特勤局给它起了个绰号："超级美元"（Superdollar）。

到 1993 年，更多"超级美元"被发现，不只在菲律宾，还有日本、伊朗和俄罗斯。这构成了严重威胁：如果有足够多的高质量伪钞流入全球金融体系，就可能动摇美元的信誉、扰乱贸易，甚至影响汇率。

对美国政府来说，这不只是伪钞问题，而是国家安全问题。于是 1996 年，他们推出了全面重新设计的 100 美元钞票，加入八项全新防伪特征。然而伪钞很快追了上来。

几年之内，新版"超级美元"就出现在市场上，而且质量更高。在放大镜下，伪钞上新钟楼指针的线条甚至比真钞更清晰锐利。

这绝非外行所为。幕后者的资源、设备和专业能力，足以与美国财政部本身相匹敌。

随着当局循线追查，一个名字、一个国家不断浮现。1994 年，纽约一家银行从中国澳门的Banco Delta Asia购入 28 万美元的百元钞，其中许多后来被证实是"超级美元"。被质询时，Banco Delta Asia指向一家名为 Zwang Trading 的公司。

这家公司在中国澳门一栋居民楼里的一间小办公室办公。当记者敲门时，墙上挂着金日成和金zhengri的画像。

次年，一伙人在泰国一处海滨度假地试图出售 9000 美元假百元钞。警方追查到一名在逃的日本恐怖分子——他曾在 70 年代劫持一架飞机，后获朝鲜庇护，并在那里被当作英雄。泰国警方抓到他时，他正坐在一辆奔驰车里，同车的还有三名朝鲜外交官。

在这两起案件中，当局都没能收集到足以无可辩驳地证明朝鲜是"超级美元"幕后黑手的证据，但一个理论正在成形。

朝鲜当然印制自己的货币，使用的印钞机与许多国家同款同型号。机器本身不是问题，但美元使用的是受严格管控的专利棉麻混合纸。试图采购这种材料会立刻引起美国当局注意。

为规避这一点，朝鲜可能把真实的 1 美元钞票漂白，再重新印成 100 美元。至于油墨——1996 年美国重新设计百元钞时，引入了一种新的变色油墨，并取得了独家使用权。

然而就在同一年，朝鲜接洽了生产这种油墨的公司，要求使用一种几乎相同的油墨。官方理由是保护本国货币防伪。可没人伪造朝鲜货币。更可能的情况是，朝鲜对美元上的油墨进行了逆向工程，再把自己那款稍作调整以与之匹配。

一位脱北者后来告诉美国官员，造假全都在政府层面进行。"我们在平壤有一座专门的工厂。我们买最好的设备、最好的油墨，用最好的人——真正的专家。"

钞票印好后，很可能交给信使偷运出境，卖掉，再带着真钞回来。假钱出去，真钱进来。

而且奏效了。随着行动从朝鲜外交官扩展到前克格勃特工、爱尔兰共和军成员，甚至小罪犯，数以百万计的伪钞开始出现在全球各地。不只是在黑市，还越来越多地出现在正规银行、现金处理中心，到 2000 年代初，甚至出现在美国本土。

美国意识到，微缩印刷、安全线和防伪水印都不够——朝鲜把它们全破解了。要彻底终结这个行动，必须从内部下手。

他们的第一步是公开表态。

"过去数年间，特勤局调查了一系列伪钞。制作这一系列伪钞所使用的精湛技术，证明背后是一个资金充足、仍在运作的犯罪集团，且具备相当的科学与技术能力。这一系列伪钞源自朝鲜。"

当媒体还在消化这条头条时，FBI 启动了两项秘密行动：东海岸的"皇家魅力行动"（Operation Royal Charm）和西海岸的"吸烟龙行动"（Operation Smoking Dragon）。

此后几年，卧底探员开始渗透与朝鲜有联系的中国犯罪集团，慢慢赢得信任，绘制网络图并搜集情报。到 2005 年，FBI 终于掌握了足够证据，于是策划了一次钓鱼执法。

目标人物被邀请参加假婚礼，甚至《花花公子》豪宅的派对。他们双脚一踏上美国土地，联邦探员就在那里等着。逮捕行动横跨美国、加拿大、中国台湾和中国大陆，数百名与该行动有关的人被拘留。

但奇怪的是，尽管确信行动由朝鲜主导，美国从未逮捕过任何一名与该行动有关的朝鲜人。原因在于，朝鲜官员多次被抓到携带大量"超级美元"——这是事实——但他们总是持外交护照出行。

这意味着他们不能被逮捕，也没有义务配合当地当局。因此大多数情况下，他们只是被遣送回国。

朝鲜方面则一概否认。他们声称特工携带现金只是因为美国制裁把朝鲜排除在全球金融体系之外。他们称这些指控是政治性的，而美国最终也无法证明相反的情况。

但在幕后，调查人员持续追查资金流向，而它似乎总是指向同一个地方：中国澳门的Banco Delta Asia银行。

美国认为这家银行在洗白伪钞，把它换成干净可用的货币。2005 年，当美国宣布Banco Delta Asia银行为"主要洗钱关注机构"后，中国澳门金融管理局冻结了与朝鲜账户相关的超过 2500 万美元，其中很大一部分属于该国统治精英。

于是这笔钱突然成了筹码。次年，朝鲜声称将开始打击伪钞——考虑到美国此前的指控，这颇具讽刺意味。

但无可否认的是：自 2008 年以后，再没有发现过新版"超级美元"。随着犯罪网络被瓦解、洗钱渠道被冻结，这项行动大概已难以为继。但更可能的是，它已经过时了。

那时，货币正在走向数字化。而在朝鲜，政权开始问一个不同的问题：既然可以直接偷，为什么还要印假钞？

第三章｜一件意想不到的武器

朝鲜从未真正从苏联解体和 1995 年毁灭性洪水中恢复过来。金zhengri几乎没做什么来复兴这个国家残破的工业。因此在 1990 到 2000 年间，经济萎缩了超过 25%。

到 2006 年，朝鲜人均年收入只有 1180 美元，大约是韩国人均的十七分之一。

一直以来，政权靠几乎可以乱真的美元伪钞，为政府和金zhengri的奢靡生活提供资金。但在 FBI 瓦解"超级美元"行动后，朝鲜发现自己回到了熟悉的位置：没钱、孤立、急需外汇。

讽刺的是，他们接下来的解法，来自政权一直恐惧的东西。1990 年代中期，互联网刚开始在全球传播时，金zhengri做了一个深思熟虑的选择。

他刚掌权，国家正处在毁灭性饥荒的边缘。如果朝鲜人能彼此通信，或者更糟——与外部世界通信，他们就会意识到自己落后了多少。在他看来，一个互联的人民是危险的。

因此到 2000 年代中期，当互联网正在革新世界各国的行列中，朝鲜不在其中。他们没有接入全球互联网，而是建了一个政府管控的封闭网络——一个严格受限的系统，只对少数学校和机构开放国家批准的教育内容。而大多数公民连这个都接触不到。

对外界而言，这不过是政权控制人民所见、所闻、所知的又一例证。但在表面之下，正发生着远比这阴险的事。因为尽管朝鲜人不能自由使用互联网，他们仍可以被训练把它当武器使用。

等到朝鲜的伪钞行动被终结时，他们已经拥有一支小而精、且在不断壮大的高水平网络作战队伍，为政权赚钱。他们还没发动过任何攻击，但这即将改变。

朝鲜首次已知的网络攻击发生在 2009 年 7 月。在几天时间里，这场后来被命名为"特洛伊行动"（Operation Troy）的攻击，用分布式拒绝服务攻击（DDoS）瘫痪了数十个美国和韩国政府网站。

这种手段有效，但很粗糙。黑客用数以千计的虚假请求灌满目标网站，流量大到普通人根本无法使用。但流量一停，网站就恢复上线。

严格说，DDoS 攻击并不算"黑客入侵"，因为网站没有被闯入，只是被流量压垮。但在随后几年，朝鲜不断测试自己的能力。每换一个新目标，攻击就更大胆、更精密，直到几年后，他们跨过了一条新界线。

2013 年 3 月 20 日，韩国两大银行和三大电视广播公司的 3.2 万台电脑突然瘫掉，修复花了数周。

但到那时，韩国经历的 DDoS 攻击太多了，这类新闻一天上头条、第二天就被遗忘。首尔之外几乎没人注意。但这一次不同。

韩国调查人员很快发现，这不是简单的 DDoS。攻击者走得更深，目标是每台机器的"主引导记录"（MBR）。MBR 就像电脑的点火开关，告诉机器如何启动、到哪里找操作系统、如何访问自身内存。

通过破坏它，黑客不只是灌流量，而是渗透了数千台电脑、重写了代码，实质上把它们变成了砖头。这次行动被称为"暗魂"（DarkSeoul）。

然而奇怪的是，他们到此为止。黑客没有试图偷钱，没有获取机密文件，没有瘫痪韩国的基础设施。调查人员甚至发现，同样的技术本可用于韩国军事系统。但黑客只是关掉一切，然后停手。

也许是怕遭到报复，也许还在试探边界，又或者，他们有更大的计划。

无论如何，有一件事很清楚：当调查人员分析"特洛伊行动"和"暗魂"背后的数字痕迹时，线索总是指回朝鲜。政权的网络战能力已不再是原始水平，而是变得更锐利、更聪明、更精准，也更有野心。

但对朝鲜年轻而未经考验的新领导人来说，下一次打击不是战略性的，而是私人恩怨。

第四章｜《刺杀金zhengen》

2011 年金zhengri去世，他最年幼的儿子、年仅 30 岁，被指定为朝鲜新的最高领导人。但金zhengen有个问题。

他既不是祖父那样的神话战争英雄，也不是父亲那样历练成熟的政治家。他年轻、缺乏经验，在很多人看来，还有一张娃娃脸。

为了巩固权力，金zhengen塑造了一个新形象。他把自己包装成有远见的、向前看的现代化推动者，将带领朝鲜进入一个大胆的新时代——不是回到过去，而是拥抱未来。

这个形象对金zhengen不只是公关，而是生存。因为如果世界嘲笑他，或者更糟——他的人民嘲笑他，他握着的权力就可能开始松动。

所以，当有消息说一家好莱坞大厂正在拍一部关于刺杀他的电影时，他别无选择，只能回应。

2014 年，索尼影视娱乐正在为《刺杀zhengen》（The Interview）的上映做准备——一部喜剧，讲两名记者被中情局招募去刺杀金zhengen。对导演塞斯·罗根和詹姆斯·弗兰科来说，这不过是又一部喜剧。索尼高管知道剧情有争议，但仍开了绿灯。

但对朝鲜及其新最高领导人而言，这部电影的冒犯超出了底线。索尼宣布《刺杀zhengen》后，朝鲜常驻联合国代表致信联合国，称该片是"赤裸裸地支持恐怖主义"，是"战争行为"。

索尼认为这只是空口威胁，于是对结尾做了几处小改动，但依然推进上映。塞斯·罗根和詹姆斯·弗兰科上脱口秀，说了些挑衅的话：

"这部电影真要是在朝鲜上映会怎样？你能想象会发生什么吗？" "是啊，我倒想知道朝鲜民众会怎么看这部电影。" "他们不是坏人，他们是糟糕处境的受害者。所以我总觉得，他们自己可能真的会喜欢这部片子。"

他们没意识到的是，这部讽刺电影即将引发 FBI 所称的"有史以来针对美国最严重的网络攻击之一"。

2014 年 9 月 25 日，索尼一名员工收到一封关于即将开始的广告活动的邮件。他下载附件时，一切看起来都很正常。但在文件深处藏着几行恶意代码——一道进入索尼系统的秘密后门。

这是钓鱼攻击，一种经典手法：黑客发送带毒文件的虚假信息，诱骗人们下载危险软件。接下来几周，更多假邮件送到索尼员工手上，他们打开了。剧组演员和工作人员收到承诺提供多位一线明星私密照片的 Facebook 消息，他们点了。

每一次成功的钓鱼，都让黑客在索尼系统里获得更多权限。他们像数字幽灵一样行动，看着一切却不留形迹。两个月内，他们窃取了约 3800 万个文件。

未上映的电影、机密邮件、员工数据、薪资信息，甚至私人病历。索尼对即将到来的事毫无察觉。

上映前一个月，几位索尼高管收到一封奇怪邮件，发件人自称"Frank David"。邮件写道：

"我们因索尼影视遭受了巨大损失。我们要赔偿，金钱赔偿。赔偿损失，否则索尼影视将整体遭到炮轰。你们很了解我们。我们从不等待太久。最好明智行事。"

高管们把这当作胡言乱语。几周内什么都没发生。但 11 月 24 日早上，索尼员工开机时，看到的不是熟悉的登录界面。

一个血红色的骷髅，眼睛骇人，配着一段话："我们已经警告过你们，这只是开始。我们已获取你们全部内部数据，包括你们的秘密和最高机密。"署名：#GOP——和平卫士。

起初有些员工以为是恶作剧。但几小时内，灾难的真实规模痛苦地显现出来。邮件实时消失，电话断线，公司里的电脑一台台死机、关机。

索尼 IT 团队手忙脚乱地把设备断网，但为时已晚。攻击太过彻底，索尼影视的 CEO 只能用他在家里翻出来的一部旧手机。高管们通过私人 Gmail 沟通，员工在停车场排队领取手写工资条。连片场的咖啡厅都无法处理信用卡支付。

一天之内，好莱坞最有权势的片厂之一被打回了石器时代。而黑客才刚开始。

入侵发生五天后，多家媒体收到匿名邮件，里面是失窃索尼数据的链接。

"这是一场由非常老练的黑客发动的攻击，而他们服务的，是的，是美国最大的敌人之一。"

但黑客很有策略。他们没有一次性放出所有文件，而是先泄露尚未上映的电影，这立即给索尼造成经济损失。但这不过是警告。

12 月初，他们放出了索尼的财务记录，包括每位高管和与片厂合作的好莱坞大牌明星的片酬。泄露内容揭示了男女之间、白人员工与有色人种员工之间巨大的薪酬差距。社交媒体炸开了锅，全是攻击索尼的言论。而由于通信系统瘫痪，协调回应几乎不可能。

几天后，他们又放出了约 5000 封艾米·帕斯卡尔的邮件——她是索尼二号人物，也是好莱坞最有权势的女性之一。她在邮件里说安吉丽娜·朱莉"毫无才华、被宠坏的臭丫头"，还开玩笑说奥巴马总统大概只看黑人主演的电影。

与此同时，近 4000 名索尼现员工和前员工的私人信息被曝光，从社会安全号码到病历、绩效评估，无一幸免。

但 2014 年 12 月 16 日，黑客发布的一则信息，让这起企业被黑事件变成了严重得多的事。

"警告：我们将在《刺杀金zhengen》上映的时间和地点——包括首映式——明确地展示给你们看。那些寻求乐趣与恐怖的人，注定要遭遇何等苦涩的命运。很快，全世界都会看到索尼影视娱乐拍了一部多么糟糕的电影。世界将充满恐惧。记住 2001 年 9 月 11 日。我们建议你们届时远离那些场所。"

这是直接的大规模暴力威胁，一切都变了。

"今天我们要跟进的是，各地影院是否打算取消《刺杀zhengen》的放映。"

当主要院线开始宣布不放映《刺杀zhengen》时，索尼面对一个不可能的选择：继续上映、拿人命冒险，还是取消电影、向恐怖分子低头。

第二天，他们取消了影片的全球发行，反弹立刻到来。影评人和明星称索尼的决定是"向恐怖主义投降"，是对言论自由的攻击。连奥巴马总统也发声：

"我们不能接受这样一个社会：某个地方的某个统治者可以在美国搞审查。"

最终，索尼在压力下让步，决定在部分影院上映《刺杀zhengen》，但票房惨败，影片未盈利。数据被泄露的员工提起集体诉讼，艾米·帕斯卡尔几个月后辞职。整起黑客事件给索尼造成的损失估计高达 2 亿美元。

但当媒体聚焦于影片争议时，FBI 一直在幕后追查攻击者。12 月 19 日，在分析恶意软件并追踪黑客留下的数字痕迹后，FBI 公开指控朝鲜应对此次攻击负责。奥巴马总统予以确认：

"我们可以确认，朝鲜参与了这次攻击。"

这是一项惊人的声明。美国政府从未如此迅速地指控另一国发动某次具体的网络攻击。

朝鲜一概否认，称这一指控是"严重的政治挑衅"，并暗示这次黑客行动是朝鲜的支持者与同情者的"正义之举"。

但针对他们的证据很有说服力。黑客复用了以往行动的代码，复用了其他朝鲜行动用过的邮箱地址和社交媒体账号。最能说明问题的是，与"特洛伊行动"和"暗魂"攻击相关的同一批 IP 地址，被用来访问索尼服务器、注册 Facebook 和 Gmail 账号。

这些行动中的黑客用过不同化名："Who Is 团队"、"新浪漫网络军团"，这次是"和平卫士"。但此时模式已无可辩驳：这些组织是同一个——一支资金充足、由国家支持、从朝鲜运作的网络部队。

此后，他们被统称为一个名字：拉撒路集团。然而调查人员发现的最令人警觉的，不只是他们的技术水平，而是那种模式：每一次攻击都更大、更有野心、更危险。

索尼事件证明了拉撒路集团的能力。但尽管制造了这么多混乱，他们一分钱也没赚到，这意味着下一个目标是必然的：全球银行体系本身。

第五章｜拉撒路对战打印机

2016 年 2 月 6 日早晨，孟加拉国中央银行的员工在处理一个看似烦人的小问题：打印机已经第二天不工作了。每次想打印交易报告，出来的信息都是空白。

起初他们只当是又一个恼人的办公室毛病，但并非如此。当有人终于把打印机硬重启，它开始把积压的消息全吐出来。但这不是让人松口气的时刻。

大部分消息来自纽约联邦储备银行。在过去一天半里，趁打印机瘫痪，有人试图把孟加拉国央行的账户掏空。

银行里没有人批准过任何交易，没人知道是谁、怎么发出的。他们只知道有 9.51 亿美元被转了出去，而这笔钱正在快速流动。

孟加拉国就这样站到了史上最胆大妄为的网络劫案的中心。这一切是怎么发生的？

一年前，孟加拉国央行人力资源部的一名员工收到一封署名 Raisel Alam 的邮件。那是一份标准的求职申请，附有可下载简历的网站链接。员工点了，看了看申请，就继续忙自己的事。但那份简历里藏着一个名为"Nest Egg"（巢蛋）的恶意程序。

这又是一次钓鱼攻击，是一场精心策划的入侵的第一步。Nest Egg 未被察觉地让黑客控制了那名员工的电脑，并获得了持久访问权——即使关机也依然有效。

但仅仅进入银行系统还不够。人力资源部门接触不到任何资金。所以黑客需要在银行网络中穿行，直到找到能接触资金的机器——这意味着要在一个复杂而陌生的网络里导航，还不能被发现。

为此，黑客又部署了两件工具。第一件叫"Sierra Charlie"，用于扫描被感染电脑中保存的密码、登录信息以及一切有用的东西。有了这些，黑客就能找到与之相连的其他电脑并入侵它们。

但这有风险：可疑流量太多，银行 IT 部门可能会察觉。于是黑客启用了"马克卡车"（Macktruck）——他们当时最精密的恶意软件。它在银行内部建立了一张影子网络：一条独立的加密通信通道，让黑客在被入侵的机器之间传递指令和信息，而且全程不留痕迹。

一旦某台不太重要的电脑完成了使命，"马克卡车"就抹掉黑客在那里做过的一切：删掉恶意软件、清除活动日志，仿佛他们从未出现过。黑客渗透了数百台电脑，但任何一个时点，他们只待在少数几台里。

最终，他们找到了目标：连接 SWIFT 终端的电脑——那是全球银行互相通信、发送大额资金划转的平台。

SWIFT 终端让黑客接触到孟加拉国央行的资金。但有个问题：即使成功把钱转出去，也不能保证钱留得住。因为孟加拉国央行维护着一个内部数据库，记录所有 SWIFT 交易。员工随时可以查看，一旦有人发现可疑的对外转账，就可以直接联系收款行要求退回。

要完成这场劫案，黑客必须确保银行里没人看到钱被转走。为此，他们瞄准了存储内部 SWIFT 日志的数据库。访问这个系统需要凭证，但黑客直接改写了登录代码，这样无论输入什么，系统都会给他们完全访问权限。

这样一来，黑客每次转出资金，都能立即登录并抹掉所有痕迹。

在几乎任何其他银行，做到这一步就足以发动劫案了。但在孟加拉国，黑客还有一个障碍：打印机。

到 2016 年，多数现代银行已完全数字化，但孟加拉国央行仍会实体打印 SWIFT 交易报告和消息。每发生一笔转账，就会打印一份纸质报告：金额、收款方、时间戳，全都有。每当其他银行联系他们——比如请求确认某笔转账——消息也会被自动打印出来。

所以即便黑客抹掉了数字痕迹，打印机也会暴露他们。他们没有直接让打印机彻底失效，而是做了更聪明的事：改写了 SWIFT 软件中生成报告和消息的模块，让所有真实数据自动被替换成零。

打印机技术上仍在工作，但没有数据送进来，所以打印出来的每份报告都是空白。没有金额，没有去向，只剩一张文件的空壳。这就是打印机"故障"的原因。

黑客渗透孟加拉国央行近一年后，这场完美劫案的每一块拼图都就位了。现在只需等待完美时机。

转账始于 2016 年 2 月 4 日晚上 8 点 36 分，员工下班几分钟后。那天是周四。在以穆斯林为主的孟加拉国，周末是周五和周六，这意味着银行员工要到周日早上才会回来。

但在纽约，当时是上午 9 点 36 分，这意味着美联储有整个周四和周五来处理这些转账。

当然，当美联储收到掏空孟加拉国账户的指令时，他们感到担心，通过 SWIFT 系统联系孟加拉国央行要求澄清。但由于打印机处于"故障"状态，没人看到这些消息。

直到周六下午，孟加拉国方面才重置了机器，积压的消息开始涌出。

孟加拉国央行立即尝试联系美联储，但那时纽约已是周末，办公室关门，钱已经没了。

更糟的是，黑客把赃款汇往菲律宾，这是刻意为之。周日联系菲律宾的银行本就不可能；而 2 月 8 日周一是农历新年，亚洲大部分地区的重大公休假日，这给了黑客额外一天在无人监督下转移资金。

通过把三个不同时区、三个不同国家、三种不同文化玩在手心，黑客把一个普通的周末拉长成五天的机会窗口。他们刚刚从孟加拉国劫走 9.51 亿美元。接下来，只要成功脱身。

但事情并没有完全按计划发展。

黑客为这一刻准备了数月，但最终，这场劫案因两件事功亏一篑：一个失误，和一个巧合。

国际汇款并不像从 A 银行汇到 B 银行那么简单。即使在 SWIFT 网络内部，多数银行之间也没有直接连接，因此需要指定中转行来路由资金。

黑客最初尝试的 35 笔交易中，只有一笔这样做了。在那笔交易里，黑客把 2000 万美元汇给斯里兰卡一家名为"沙利卡基金会"（Shalikha Foundation）的非政府组织。但中转行审核时发现，"foundation"这个词拼错了。

这是黑客的失误，一个简单的拼写错误。因此中转行把这笔交易标记为可疑，几天后联系孟加拉国央行，对方确认转账未经授权，钱被退回。但这样他们还有 9.31 亿美元可偷。

最初 35 笔中 34 笔被拒后，黑客很快重新正确提交。这次钱汇往菲律宾，具体是菲律宾商业银行（RCBC），他们在那里用假名开了四个个人账户，每个账户只存了 500 比索。

但在这里，他们撞上了一个巧合。黑客开户的那家 RCBC 分行地址是"木星街"（Jupiter Street）。而与这一切毫无关系的是，"Jupiter"（木星）也是一艘被美国制裁的伊朗货船的名字。

当美联储的反洗钱系统在转账请求中看到"Jupiter"这个词时，触发了警报。美联储突然被迫人工审核全部 34 笔交易。

由于这个极不可能的巧合、涉及金额巨大，以及款项是汇给个人而非企业或机构，34 笔中只有 4 笔成功抵达菲律宾。

之后，钱被集中到一个账户，汇往一家货币兑换公司换成菲律宾比索，再在赌场里被倒手——当时赌场不受反洗钱法约束。

最终，孟加拉国在美联储持有的 9.51 亿美元中，黑客成功偷走了 8100 万美元。

孟加拉国央行劫案被正式归因于拉撒路集团。调查人员发现，索尼事件、"特洛伊行动"和"暗魂"中用过的同一批 IP 地址、同一套钓鱼基础设施，甚至某些完全相同的恶意软件，又一次全部出现。

至此，拉撒路集团已经明白：抢劫一个国家不需要枪炮或军队。但下一次出手，他们瞄准的不再是某个国家或机构，而是所有人。

第六章｜WannaCry？

2017 年 5 月 12 日早晨，伦敦几家医院里开始出现怪事。全城的电脑屏幕一片黑。

突然，CT 扫描仪和核磁共振设备停止工作。非急症病人被劝回。数百名癌症患者的治疗被推迟。连正在进行的手术也不得不在没有电子病历的情况下临时应对。

忽然，屏幕变红，出现一段令人心寒的话：

"糟糕。你的文件已被加密。也许你正忙着找回文件，但别浪费时间。没有我们的解密服务，没人能恢复你的文件。"

下面是一个下拉菜单，用 28 种语言提供付款说明。攻击者要求支付数百美元等值的比特币来解锁机器。若三天内不付，赎金翻倍；一周后，数据永久删除。

但这不只发生在医院，也不只发生在伦敦。整个地球上，从德国铁路公司到俄罗斯银行，再到更多地方，成千上万人看到同一块红屏。

到当天结束，超过 150 个国家的 23 万多台 Windows 电脑被感染。这是史上规模最大的勒索软件攻击之一。

可你怎么能在一天内黑掉 23 万台电脑？

每台电脑都有"端口"——允许机器在网络中通信的数字门。端口开着，同一网络中的其他电脑就能向它发送信息。其中一个端口，445 端口，通常默认开放。在某些机器上，它甚至直接面向全球互联网，也就是说，只要知道方法，任何人都能直接向它发送代码。

多数恶意软件需要有人打开坏文件或点击危险链接。但这次是病毒。一旦感染某台设备，它就会扫描整个网络里的其他脆弱机器，并通过 445 端口跳过去，一次又一次地自我复制。网络越互联，它传播得越有效。

这就是英国国民保健署（NHS）受灾最重的原因之一。病毒如野火般蔓延数月，一旦激活，它做的事看似简单：用一款改自 Windows 自带加密工具的程序，把电脑上的每个文件都加密。

但与正常加密不同，解密密钥不存在设备上，而在黑客手里。想要文件回来，就得付钱。

黑客给它的正式名目是"WanaCrypt0r"，而它流传的名字是 WannaCry。也许是个扭曲的玩笑。但人命关天。

当 WannaCry 蔓延全球的消息传开时，马库斯·哈钦斯——一个 22 岁的电脑极客，住在英格兰西南部一个安静的海滨小镇——正看着这一切发生。

哈钦斯以"MalwareTech"的化名经营着一个不大的网络安全博客，因对新病毒和漏洞利用的详细拆解而在圈内知名。那个周五，他下载了 WannaCry 的代码开始分析。

几乎立刻，他发现了奇怪之处。在感染下一个受害者之前，WannaCry 会尝试"ping"一个域名——那是一串很长、很随机、显然没有注册的网址。

如果这个网站无法访问，病毒就继续执行：加密文件、索要赎金，然后扫描更多机器。但如果网站能访问，病毒就什么也不做。

哈钦斯查了这个域名，惊讶地发现它无人持有。于是他花 10 英镑买了下来，挂到一台在线服务器上——就这样，WannaCry 的疫情结束了。

为什么代码里会留这么一个明显的"开关"，至今不明。多数专家认为那是测试时防止病毒外泄的保险，被遗留了下来。而现在，它把真正的攻击摁住了。

几乎一夜之间，哈钦斯从匿名博主变成全球英雄。他涨了数万粉丝，媒体纷纷报道，一家本地餐馆请他免费吃一年披萨。

可你会发现，马库斯·哈钦斯身上有些地方对不上。

在 WannaCry 数年之前，哈钦斯曾暗中与暗网上的一名网络罪犯合作，开发了一款银行恶意软件。所以，在他阻止 WannaCry 病毒仅数周后，他被 FBI 逮捕。然而，他没有面临十年监禁，而是重获自由：因为他同时也帮助阻止了史上最大规模的网络攻击之一，网络安全界募集到足够资金为他交保，法官最终判他免于刑罚。

当 NSA 和 FBI 深入分析 WannaCry 代码时，发现它源自一个出人意料的地方：美国。数年前，NSA 就发现了同一个 445 端口漏洞，但他们没有公开，而是留作己用。

然而最终，这件工具流落出去，出现在一次泄露中——多款被盗的 NSA 工具在暗网论坛上出售，价高者得。一旦流出，落入朝鲜手中只是时间问题。所有迹象都指向拉撒路集团。

尽管感染了 23 万多台电脑，WannaCry 只为政权赚了几十万美元。算不上大丰收。但真正值得注意的是他们处理钱的方式。

受害者被要求把比特币打到三个钱包地址之一。由于区块链交易全部公开，调查人员可以把这些交易一路追踪到一家名为 HitBTC 的交易所。HitBTC 把赃款比特币换成普通货币，黑客一提现，钱就消失了。

在孟加拉国劫案中，洗钱涉及成车的现金、赌博团伙，以及一个复杂的国际中间人网络，需要数月筹划和数月执行。而这一次，只用了 48 小时，而且全程在一台电脑上完成。

一些调查人员认为，WannaCry 不是失败，而是一次测试。拉撒路集团已经学会如何洗白加密货币，而他们即将把这项技能用到极致。

第七章｜走向数字化

如果你的目标是通过网络犯罪搞钱，没有比加密货币更好的工具。与传统金融体系不同，它无国界、匿名、去中心化。

因此，在 WannaCry 之后的几年里，拉撒路集团把重心从银行和老式间谍活动转向了"数字黄金"。

先是 2017 年的 NiceHash。仅凭一个窃取的 VPN 密码，黑客在数小时内从该平台的比特币钱包里抽走了 7500 万美元。

2020 年，他们拿到了 KuCoin 几个钱包的私钥。还没等人察觉，2.75 亿美元已经消失。

2022 年，他们攻破了拥有数百万用户的链游 Axie Infinity。通过攻陷其内部权限，他们从连接该游戏与以太坊区块链的跨链桥转走了超过 6 亿美元。

2023 年，他们提取了存放在 Stake.com 服务器上的私钥，带走 4100 万美元。2024 年，他们利用 WazirX 后端 API 的一个漏洞，悄悄抽走 2.3 亿美元的加密资产。

如果把 2017 到 2024 年间所有公开归因于朝鲜的加密货币盗窃加起来，总额超过 60 亿美元。而考虑到这些币自被盗以来可能已大幅升值，真实金额可能高得多。

不过，拉撒路集团加密劫案最令人担忧的不只是偷了多少，而是他们进化得多快。短短几年，他们从粗糙的钓鱼邮件，发展到定制间谍软件、多层洗钱方案，以及对去中心化基础设施的协同攻击。

现在，他们准备好发动迄今最大、最复杂、也最有野心的一次攻击。

2025 年 2 月 4 日，Safe 钱包的一名资深开发者收到了一个看似令人心动的职业机会。一位招聘者在 LinkedIn 上联系他，谈一个前景不错的职位。面试的一部分，是完成一道技术编程题。

题目以一个可下载文件的形式发来——一个所谓的 Docker 项目，开发者用它在一个隔离环境中测试代码，无需手动安装任何东西。这名开发者下载、打开，像对待任何项目一样开始工作。

但他没意识到，这个容器里藏着恶意代码，能让黑客远程访问他的电脑——而关键是，这台电脑可以访问 Safe 钱包在亚马逊云（AWS）上的内部基础设施。

不过，黑客没有尝试破解他的密码，也没有强行突破多因素认证。他们做了更精巧的事。

AWS 的登录使用临时会话令牌——用户登录时自动生成的短期凭证，约 12 小时后失效。黑客的恶意软件在令牌生成的那一刻就悄悄复制了它们。

这样，他们无需破坏安全机制，只是在开发者仍处于登录状态时，借用了他合法的访问权限。随后，他们安静地摸清了 Safe 钱包的云系统，写下一段简单却致命的代码。只需要把 0 改成 1。接下来，只需等待。

2025年2 月 17 日，按交易量计全球第二大加密货币交易所 Bybit 的联合创始人Ben Zhou开始了一笔例行转账。目标很简单：把以太坊从离线冷钱包转到在线热钱包，用于交易所的日常交易。

周和其他多位授权签署人用 Safe 钱包审核了这笔交易。一切看来无误，周本最后一次核对了钱包地址，点了"批准"。而这正是黑客的恶意软件在等的。

就在周批准交易的那一刻，他触发了一段写入 Safe 钱包用户界面的恶意代码。在交易数据深处有一个名为"operation"的字段，它已被悄悄从 0 改成了 1。

这个微小的改动让攻击者完全控制了 Bybit 的钱包，资金被迅速转往一个外部的未授权地址。Bybit 的安全系统立刻检测到一个冷钱包被清空，但在他们来得及反应之前，黑客已经开始抹除痕迹。

他们立即清除了开发者电脑上所有存在过的痕迹，包括活动日志和他们写下的恶意 JavaScript 代码。

盗窃被发现 30 分钟后，Bybit 向数百万用户发布声明：近 15 亿美元的以太坊从这家全球最大的加密交易所之一被盗。然而，有一样东西黑客删不掉——区块链本身。

Bybit 声明发布后，最顶尖的加密安全调查人员开始追踪赃款。没过多久就有结果：接收 Bybit 赃款的地址并非随机，它们正是一个月前用来清洗 Phemex 交易所被窃资金的那批地址。

随后，FBI 发布公开通告。

"联邦调查局发布本通告，提示朝鲜民主主义人民共和国应对 2025 年 2 月 21 日前后从加密货币交易所 Bybit 窃取约 15 亿美元虚拟资产负责。"

这只能是拉撒路集团所为，而他们洗钱毫不拖延。被盗资金是以太坊生态的实用型代币。问题在于，与纯 ETH 不同，这类代币的发行方可以一键冻结钱包。

所以黑客做的第一件事，是把这些代币换成以太坊本身——以太坊没有中心化机构。转换完成后，他们把赃款分散到 50 个不同钱包，每个约 1 万枚 ETH。这一步通过带自动交易协议的去中心化交易所完成。这样没人能冻结他们的账户，钱也永不停下。

但区块链的透明性意味着每笔交易都公开可见、永久记录。为争取时间，黑客使用了混币服务：资金穿过数百个钱包、不同区块链，与数千名其他用户的加密货币混合，织成一张复杂到不可能的网，最后换回与原始盗窃毫无关联的"干净"比特币。

这是加密史上最精密的洗钱操作之一。至今，62% 的赃款已消失，33% 仍可追踪，只有 5%——7245 万美元——被冻结。

总而言之，朝鲜从 Bybit 事件中至少拿走 8.68 亿美元。

这起劫案的规模和技术复杂度，使其成为近年记忆中最重大、最严重的加密黑客事件。

朝鲜不愿认真回应国际执法界的指控，这一点说明了一件事：拉撒路集团还没收手。

因为这场行动的掌舵者是一个主权政权——拥有核武库、对奢靡有无尽胃口，以及一个急需外汇的破碎经济。

一位叛逃到韩国的前朝鲜计算机科学教授估计，朝鲜约有 6000 名所谓"网络战士"，任务是替政权创收。他说得很直白：

"对朝鲜来说，网络部队最重要，因为它是不对称的。它可以用很少的人力和设备，取得巨大的成果。"

许多专家现在视拉撒路集团为现代史上最精密的犯罪集团。但即便经历了所有这些毁灭性攻击，仍有一块拼图没有解开：朝鲜如此孤立、如此贫困，是怎么培养出这样水平的黑客的？

相比拉撒路集团造成的所有破坏，这也许是他们整个行动中最令人不安的部分。

第八章｜好人与坏人

人们很容易把朝鲜的网络攻击想象成一群"邪恶天才"躲在地下掩体里，在发光的屏幕后完成十亿美元的劫案。遗憾的是，真相要复杂得多，也人性得多。

想象一个在 1990 年代中期朝鲜长大的男孩。他记得村子里大米吃光的那一刻；记得夏天捉蜻蜓充饥；也很早就意识到，救援永远不会来。

但这个男孩有天赋：数字对他很轻松。于是他低头苦读，成绩全是满分，然后等待。有一天，一名政府官员来到他的学校，翻看优等生名单，他被选进一个设有高等数学课程的特殊教育项目。他表现出色。

12 岁那年，他出国参加国际数学奥林匹克。短暂的一刻，他看到了外面的世界。回到朝鲜后，男孩开始接受计算机科学的密集训练，被送进平壤一所顶尖大学，学习编程、加密与网络安全。

他不是一个人。全国成千上万的天才儿童走在同一条路上，只有极少数能通过最终选拔。最聪明、也最忠诚的那些，会被吸纳进两个精英项目之一：朝鲜的核武器计划，或其网络部队。

这个男孩如今已是年轻人，才华出众，并表现出对金氏王朝的高度忠诚。他被选入网络部队，派驻中国。进入这个体系后，他被当作朝鲜军人对待，参与网络劫案，为朝鲜政权创收。

他与国内其他人隔绝，和一群同样的年轻男子挤在一间狭小公寓里。这是一场由政府对口人员严密监视的秘密行动。他早上 6 点被叫醒，被迫每天工作 15 到 20 小时。和同单位的其他人一样，他每年必须至少窃取 1 万美元，几乎全部上缴平壤，只留够活命的一点。

但做黑客有一项独特的特权：他能接触开放互联网。在朝鲜内部，信息受到严格限制；但如果要写出令人信服的钓鱼邮件、诱骗软件工程师下载恶意程序，他必须理解对方的文化。

这个年轻人活在一种悖论里：与社会隔绝，却又浸淫在其文化之中。游戏论坛、银行 App、流行文化，甚至明星八卦。他看那些在自己国家会被禁的电影，读新闻，看到别人享有的财富与自由。他知道政府对他撒了谎。他知道饥荒、宣传和腐败，也无比清晰地看到自己的国家落后到了什么地步。

但尽管如此，他根本无从退出。拒绝服从命令可能意味着坐牢、酷刑，甚至更糟。叛逃几乎不可能；即便成功，他的父母、祖父母，也许还有他的孩子，都要承担后果。在朝鲜，个人的罪会牵连家族，而且要由之后三代人来偿还。

而尽管看到了一切，归根到底，朝鲜仍然是他的家。但即便在这个严密控制的体系里，网络部队还给了这个年轻人另一样东西：希望。

朝鲜社会等级森严。政权用一套名为"出身成分"（songbun）的制度，决定公民的一切：口粮、教育，甚至允许住在哪里。人民被分为三大阶层：核心、动摇、敌对，每一层下还有数十个子类。

由于"出身成分"取决于家族对金氏王朝的忠诚史，向上流动几乎不可能。但有几个例外：如果你在体育、艺术或计算机科学上出类拔萃。

作为黑客，生活艰苦且道德上可疑，但对这个年轻人来说，它带来了更好的口粮、更好的住房，甚至让家人有机会搬到平壤更好的区域。

于是他留下来，继续工作，过着一种奇怪的双重生活：一只脚在 21 世纪，另一只脚困在一个做脏活的政权里。他看见真相，却学会了别过头去。他是一个技术娴熟的程序员，一个忠诚的士兵，也是一个除了名义之外名副其实的囚徒。

拉撒路集团的特工不是什么邪恶的天才。他们是从小被挑选出来的聪明孩子，受军事化训练，被困在一个没给他们真正选择的体制里。他们的才华本可以创立公司、治愈疾病、推动科学。结果却被武器化，被迫服务于一个为了保住自身权力而剥削他们的腐败政权。

这是一场悲剧。但涉及朝鲜，事情从来都不只是"好人与坏人"这么简单。

在这期视频中，我们看到了一个危险的模式：年复一年，拉撒路集团的攻击越来越大、越来越大胆、越来越精密。

问题不是他们会不会继续黑客行动——他们才刚刚开始。

问题是：接下来会攻击谁？