Wyobraź sobie scenę: jesteś szefem inżynierii na brazylijskiej giełdzie, dostajesz na Telegramie pilne zaproszenie na call na Google Meet z funduszem z Singapuru. Link prowadzi do strony identycznej z oficjalną, z wideo zacinającym się z powodu "problemu z audio macOS". Strona prosi w przyjaznym tonie, abyś wklejił polecenie w Terminal, aby "naprawić sterownik". Jesteś szefem crypto, używasz Maca od dziesięciu lat, już tysiąckrotnie uruchamiałeś polecenia w Terminal. Wklejasz. Dwadzieścia sekund później, cały twój Keychain — z hasłami do giełd, kluczami API, tokenami sesji Vercel, ciastkami banków — znajduje się w prywatnym kanale Telegram kontrolowanym przez Pjongjang.
Ten scenariusz przestał być hipotetyczny w zeszłym tygodniu. W 21 kwietnia 2026 zespół bezpieczeństwa Quetzal z Bitso, we współpracy z platformą analityczną ANY.RUN, opublikował odkrycie nowego modularnego zestawu malware dla macOS o nazwie Mach-O Man — przypisywanego z wysokim stopniem pewności jednostce Famous Chollima grupy Lazarus Group, ramienia operacji crypto północnokoreańskiego wywiadu.
Historia w skrócie: ta sama grupa, która ukradła 1,5 miliarda USD z Bybit w lutym 2025, zmieniła teraz cel. Zamiast polować na deweloperów bibliotek mostów lub operatorów portfeli multisig, Lazarus atakuje szefów. A preferowany wektor to laptop korporacyjny, o którym wszyscy mówili, że jest bezpieczny: MacBook.
Co to jest Mach-O Man, technicznie
Nazwa jest odniesieniem do natywnego formatu wykonywalnego macOS (Mach-O) i do kulturysty Randy'ego Savage'a. Za żartem kryje się jeden z czystszych zestawów, jakie Lazarus kiedykolwiek wdrożył na Mac. Trzy cechy definiują Mach-O Man:
- Modularny. Nie jest to jeden plik binarny. To etapy — dropper, infostealer, beacon C2, self-destruct — które można łączyć w zależności od celu.
- Bez ciężkiej trwałości. W przeciwieństwie do klasycznych malware'ów, które sadzą LaunchDaemons aby przetrwać restart, Mach-O Man wykonuje się, eksfiltruje i może się usunąć w kilka minut. Został zaprojektowany do chirurgicznych ataków, a nie do długoterminowej kontroli.
- Eksfiltracja przez Telegram. Zebrane dane — poświadczenia przeglądarki, ciastka sesji, wpisy Keychain, historia terminala, pliki lokalnych portfeli crypto — są kompresowane i wysyłane do prywatnych kanałów Telegram kontrolowanych przez operatorów. Brak własnego serwera C2 oznacza mniej śladów forensycznych i większą trudność w takedown.
Zestaw zawiera również skrypt autodestrukcji, który używa natywnych poleceń systemowych do usunięcia malware'u i wyczyszczenia śladów, omijając okna dialogowe potwierdzenia użytkownika. Gdy ofiara zauważa coś dziwnego, plik binarny już nie istnieje.
Atak w praktyce: ClickFix, doskonała inżynieria społeczna
Technika haka jest drugorzędna. Prawdziwy atak jest psychologiczny i nosi nazwę ClickFix. Sekwencja jest zawsze podobna:
- Pierwszy kontakt przez Telegram lub LinkedIn, spersonalizowany. Atakujący udaje szefa funduszu, szefa BD giełdy, rekrutera M&A lub reportera uznanego medium. Wiadomość ma rzeczywisty kontekst — pobiera dane z ostatnich postów, zdarzeń, w których uczestniczył cel, umów, które firma ogłosiła.
- Zaproszenie na pilny call. "Dzisiaj, za 15 minut, to wrażliwe czasowo." Link wygląda na Zoom, Teams lub Google Meet. Nie jest. To identyczna replika hostowana na podobnej domenie (typosquat) lub przejętej legytymnej CDN.
- Inscenizowany błąd na call. Strona symuluje problem z audio lub kamerą. Pojawia się modal: "wykryliśmy problem z twoim audio na macOS. Wklej polecenie poniżej w Terminal, aby naprawić."
- Polecenie. Generalnie jest to one-liner, który wywołuje
curllubosascriptw celu pobrania i wykonania droppera Mach-O Man. W niektórych obserwowanych przypadkach polecenie jest zaciemnianie przezbase64, aby uniknąć percepcji technicznego użytkownika. - Cicha eksfiltracja. Plik binarny uruchamia się z uprawnieniami użytkownika (nie potrzeba sudo), uzyskuje dostęp do Keychain, kopiuje wrażliwe dane i wysyła je na Telegram. W środowiskach korporacyjnych bez specjalnego EDR dla macOS alarm jest zerowy.
Nazwa "ClickFix" była już widoczna w kampaniach przeciwko tradycyjnemu sektorowi finansowemu od 2024 roku, ale to pierwszy raz, gdy widzimy aktor APT tier 1 operacyjnie wdrażający technikę na dużą skalę przeciwko crypto.
Lazarus w 2026: ślad 2 miliardów USD
Mach-O Man nie pojawia się w próżni. To naturalna ewolucja sekwencji operacji, które w ciągu ostatnich osiemnastu miesięcy uczyniły Koreę Północną największym udziałem państwowym w kradzieży crypto na świecie. Znane liczby:
- Luty 2025 — Bybit: 1,5 miliarda USD drenowana przez złośliwe wstrzyknięcie JavaScript'u do interfejsu Safe{Wallet}, po tym jak dev miał swoją maszynę zaatakowaną. Największa kradzież crypto w historii.
- Kwiecień 2026 — Drift Protocol: 285 milionów USD syfoniowanych w operacji inżynierii społecznej, która trwała sześć miesięcy infiltracji. Przypisana podjednostce UNC4736 — nasza relacja na Drift Potwierdza: Hack 285 Mln USD Był Operacją Północnokoreańskiego Wywiadu z 6 Miesięcy.
- Kwiecień 2026 — KelpDAO: 293 miliony USD w exploit, z czego Arbitrum zamroziła 71 milionów USD na podstawie działania security council — zobacz Arbitrum Zamraża 71 Mln USD Hakera Kelp.
Firma konsultingowa CertiK przypisała zarówno Drift, jak i Kelp do Famous Chollima — tej samej jednostki, która teraz obsługuje Mach-O Man. Wzór jest jasny: w 2024 roku Lazarus atakował mosty cross-chain; w 2025 roku przeszedł na łańcuch dostaw infrastruktury (Bybit przez Safe{Wallet}); w 2026 roku poluje na ludzi. To nie jest taktyczne cofnięcie. To zaawansowanie.
Aby uzyskać pełny obraz tego miesiąca, warto przeczytać naszą skonsolidowaną relację na Czarny Kwiecień DeFi: 606 Milionów USD w Hackach w Zaledwie 18 Dni.
Dlaczego fokus jest teraz na macOS
Przez lata narracja "Mac jest bezpieczny" była kombinacją trzech rzeczy: mniejszy udział rynku (mniej zachęt dla atakujących), architektura Unix-like z sandboxingiem, oraz Gatekeeper + notaryzacja blokująca podpisane pliki binarne. Ta równowaga się załamała.
Trzy czynniki pchnęły Lazarusa w kierunku macOS:
- Koncentracja celów. Szefowie i inżynierowie crypto używają Maca w proporcji znacznie większej niż średnia rynku. Jeden MacBook CTO giełdy jest wart więcej, w kategoriach potencjalnych szkód, niż sto losowych korporacyjnych PC'ów.
- Mniej dojrzałe obrony. EDRy korporacyjne (Crowdstrike, SentinelOne) mają znacznie głębszą pokrycie Windows niż macOS. SIEM'y korporacyjne rzadko mają reguły specyficzne dla
osascript, modyfikacji Keychain czy anomalnego użyciacurl | sh. - ClickFix omija Gatekeeper. Gdy użytkownik dobrowolnie wkleją i wykonują polecenie w swoim własnym Terminal'u, żadne z zabezpieczeń notaryzacji się nie stosują. Atak nie pobiera spakowanej aplikacji — pobiera skrypt.
Timing również zbiega się z ekspansją latynoamerykańskiego ekosystemu crypto. Wraz z brazylijskimi giełdami zacieśniającymi nadzór regulacyjny z Bankiem Centralnym, wolumen aktywów pod opieką lokalną wzrósł — a wraz z nim zainteresowanie aktorów państwowych w kompromitowaniu osób kierujących tymi domami.
Playbook defensywny dla szefów i zespołów crypto
Część praktyczna. Jeśli jesteś CEO, CTO, szefem bezpieczeństwa lub starszym dev w jakiejkolwiek operacji crypto, są to działania, które mają sens wdrożyć tego tygodnia, a nie "w następnym kwartale":
Dla indywidualnego szefa
- Złota reguła: nigdy nie wklejaj polecenia w Terminal'u pochodzącego ze strony internetowej. Jeśli "rozwiązanie" na twój problem z audio to uruchomienie skryptu, to malware. Zawsze. Bez wyjątku. Audio i wideo macOS się nie naprawiają poprzez shell.
- Zaproszenia na spotkania przychodzące przez Telegram lub DM w mediach społecznościowych są podejrzane domyślnie. Potwierdź przez kanał pomocniczy (korporacyjny e-mail, zweryfikowany WhatsApp) przed kliknięciem jakiegokolwiek linku. Zajmuje 30 sekund.
- Aktywuj FileVault i przegląd Keychain. Usuń stare poświadczenia, których już nie używasz. Mach-O Man nie różnicuje, co jest aktualne, a co nieaktualne — pobiera wszystko.
- Obracaj hasła i klucze API co 90 dni. Tak, to denerwujące. Ale zmniejsza blast radius wszelkich kompromitacji do jednego kwartału.
- Użyj menedżera haseł, który nie jest Keychain, dla najbardziej wrażliwych sekretów (1Password, Bitwarden z silnym kluczem głównym). Mach-O Man celuje specjalnie w Keychain.
Dla firmy
- Zainstaluj EDR z rzeczywistą pokryciem macOS. Crowdstrike Falcon, SentinelOne Singularity i Jamf Protect mają detekcję zachowań typowych dla Mach-O Man — wykonanie skryptów poprzez
osascript, anomalny dostęp do Keychain, połączenia wychodzące do API Telegram. - Zablokuj API Telegram w firmowej zapory, z wyjątkiem maszyn, które naprawdę tego potrzebują. Eksfiltracja przez Telegram to sygnatura Mach-O Man.
- Przeszkolenie zespołu wykonawczego w ClickFix. Tradycyjny phishing każdy rozpoznaje. ClickFix jest nowy i specjalnie zaprojektowany dla osób z formacją techniczną.
- MFA przez klucz sprzętowy (YubiKey), a nie SMS ani aplikacja. Tokeny sesji skradzione z Keychain tracą wartość, jeśli następna autentykacja wymaga fizycznego tapnięcia.
- Segreguj portfele pracy od portfeli osobistych. Jeśli osobisty MacBook jest zaatakowany, klucz korporacyjny w osobnym portfelu sprzętowym przetrwa.
Co to oznacza dla Brazylii
Dwie rzeczy.
Po pierwsze, Brazylia jest na radarze. Sam zespół Quetzal z Bitso był tym, który pierwszym zidentyfikował kampanię — co ma sens tylko wtedy, gdy ruch ataku przeszedł przez infrastrukturę lub klientów LatAm. Szefowie brazylijskich giełd, fintech'ów płatniczych i funduszy aktywów cyfrowych są jawnie pośród celów.
Po drugie, lokalny ekosystem ma własne obciążniki. Jak już pokryliśmy w Trojan GoPix Ewoluuje, malware dostosowany do brazylijnskiego kontekstu (Pix, boletos, krajowe banki cyfrowe) już krąży. Suma ataku Lazarusa przeciwko szefowi z trojanem bankowym obecnym na maszynie jest katastrofalna. Pieniądze crypto wylatują przez eksfiltrację Keychain; pieniądze fiat wylatują przez Pix oszukańczy. Tego samego dnia.
I jest trzeci punkt mniej oczywisty: fala deepfake przeciwko biometrycznemu KYC z marca i kwietnia tworzy złą synergię z Mach-O Man. Jeśli atakujący kradnie twoje poświadczenia przez Mach-O Man, a następnie wykonuje weryfikację biometryczną 2FA poprzez deepfake ze zdjęciem ciebie z internetu, combo omija wszystkie warstwy obrony przeciętnej giełdy.
Kontekst: celowy phishing wzrósł o 1.400% w pierwszych dwóch miesiącach 2026. Mach-O Man to tylko najbardziej zaawansowany koniec trendu makro.
Perspektywa ON3X
Trzy odczytania na koniec.
Jeden: bezpieczeństwo crypto w 2026 jest problemem człowieka, a nie techniki. Każdy wysokowpływowy atak w tym roku rozpoczął się od osoby — dev, szef, operator. Protokoły są bardziej audytowane niż kiedykolwiek. To człowiek, który nadal jest słabym ogniwem, i atakujący państwowi wiedzą to znacznie wcześniej niż my.
Dwa: "Mac jest bezpieczny" umarł 21 kwietnia 2026. Higiena cyfrowa, którą szefowie Windows internalizowali dwie dekady temu, musi być teraz replikowana w ekosystemie Apple. To nie neuroza, to realizm.
Trzy: instytucjonalna kustodialność ma znaczenie. Platformy regulowane, które segregują majątki, obsługują rozproszone multisig cold storage i mają 24/7 monitoring on-chain, nie eliminują ryzyka — ale transferują je do kogoś, kto ma skalę, aby go absorbować. Szef, który przechowuje wszystko w self-custody na swoim własnym MacBooku, stał się w 2026 roku celem z wyboru Pjongjang.
Pytanie, które każdy C-level crypto musi sobie zadać, czytając ten artykuł, jest proste: gdyby następny fałszywy call Zoom dotarł do mnie dzisiaj, czy bym wklejł polecenie? Uczciwa odpowiedź, nawet dla kogoś, kto myśli, że by nie wklejł, zwykle brzmi "to zależy od pośpiechu i od kto to wysłał". Dokładnie dlatego ClickFix działa. I dokładnie dlatego Lazarus zarabia miliardy.