Lazarus Group flytter bitcoin for 19,4 millioner dollar – destinationen er ukendt

Wallets, der forbindes med den nordkoreanske hackergruppe Lazarus Group, flyttede 244,148 BTC den 28. august 2026. Bitcoin-beholdningen havde på tidspunktet for rapporteringen en værdi på cirka 19,42 millioner dollar. Lookonchain gjorde opmærksom på aktiviteten, mens samtidige omtaler henviste til Arkham Intelligences mærkning af wallet-adresserne. Modtageradressen er ikke offentligt identificeret. 2411

Det vigtigste er dog, hvad transaktionen ikke beviser: Den viser, at bitcoin blev flyttet mellem adresser, men dokumenterer ikke et salg, en udbetaling, en hvidvaskrute eller en endelig modtager. 910

Hvad skete der 28. august?

Lookonchain skrev, at Lazarus-relaterede wallets igen var aktive og havde flyttet 244,148 BTC, svarende til omkring 19,42 millioner dollar. I den efterfølgende omtale blev Arkham Intelligence citeret for at forbinde wallet-adresserne med Lazarus Group. 2411

De offentligt tilgængelige oplysninger fastslår ikke, om bitcoinene blev sendt til:

• en centraliseret kryptobørs
• en mixer eller anden tjeneste, der slører transaktioner
• en anden wallet kontrolleret af Lazarus Group eller en nordkoreansk tilknyttet aktør

Det er en væsentlig forskel. Blockchainen registrerer, hvor mønterne bevæger sig hen, men ikke automatisk hvem der kontrollerer den nye adresse, eller hvorfor transaktionen blev foretaget. Det kræver typisk yderligere analyse af adresseklynger, oplysninger fra børser eller efterforskningsmateriale.

Tre store overførsler på omkring en måned

August-overførslen kom efter to andre markante bevægelser fra wallets, der forbindes med Lazarus Group:

Dato	Flyttet bitcoin	Rapporteret værdi	Offentligt oplyst destination
30. juli 2026	121,5 BTC	Cirka 7,74 mio. dollar	To uidentificerede adresser 37
12. august 2026	262,2 BTC	Cirka 16,64 mio. dollar	En nyoprettet adresse 814
28. august 2026	244,148 BTC	Cirka 19,42 mio. dollar	Ikke offentligt identificeret 910

Med de samtidige værdiansættelser svarer overførslerne samlet til omkring 43,8 millioner dollar i bitcoin på cirka en måned. Beløbene er historiske estimater, som afhænger af bitcoin-kursen på transaktionstidspunktet. De bør derfor ikke læses som mønternes aktuelle værdi.

Den 12. august blev Lazarus-relaterede aktiver på blockchainen opgjort til mere end 73,06 millioner dollar, primært i BTC, USDT og ETH. 8 Tallet dækkede en bredere gruppe overvågede wallets og er ikke nødvendigvis det samme som beholdningen i den konkrete wallet, hvorfra overførslen 28. august fandt sted.

Hvor meget var tilbage i afsender-walleten?

De tilgængelige rapporter giver ikke et entydigt, uafhængigt verificeret billede af saldoen i den specifikke afsender-wallet efter overførslen. En omtale beskrev en samlet portefølje på omkring 40 millioner dollar og oplyste, at den indeholdt 267,526 BTC, værdisat til cirka 20,97 millioner dollar ved den nævnte bitcoin-kurs. 11

Tallene skal tolkes med forsigtighed. Der er forskel på saldoen i én wallet, en konsolideret wallet-klynge og de samlede beholdninger, som analytikere knytter til Lazarus Group. Kilderne understøtter den bredere konklusion, at Lazarus-tilskrevne wallets fortsat havde betydelige aktiver efter de seneste bevægelser, men ikke ét præcist og offentligt bekræftet slutbeløb for afsender-walleten.

Er bitcoinene knyttet til Bybit-tyveriet?

Der er ikke offentligt bevist, at overførslen 28. august var provenu fra et bestemt hackerangreb. Den får dog ekstra opmærksomhed på grund af tidspunktet og de fortsatte forsøg på at spore kryptovaluta fra Bybit-tyveriet 21. februar 2025, hvor digitale aktiver for omkring 1,5 milliarder dollar blev stjålet. 25

USA's forbundspoliti, FBI, tilskrev tyveriet til Nordkorea og kaldte operationen "TraderTraitor". FBI oplyste, at de stjålne aktiver blev konverteret til bitcoin og andre kryptovalutaer og spredt over tusindvis af wallets på flere blockchain-netværk. 2526

Bybit har siden anlagt en civil sag i USA mod Nordkorea, landets Reconnaissance General Bureau og Lazarus Group i et forsøg på at få identificerede stjålne aktiver indefrosset. 17

Den baggrund forklarer, hvorfor ny aktivitet i wallets mærket som Lazarus-relaterede bliver fulgt tæt. Den dokumenterer ikke, at de 244,148 BTC 28. august stammede fra Bybit, eller at bitcoinene var på vej til at blive solgt.

En del af et større nordkoreansk mønster

Overførslen på 19,42 millioner dollar er lille sammenlignet med Bybit-tyveriet, men den indgår i et bredere billede af kryptotyverier, som tilskrives nordkoreansk tilknyttede aktører. Et brancheestimat vurderede, at Nordkorea-relaterede aktører stjal kryptovaluta for 2,02 milliarder dollar i 2025, og at de stod for 76 procent af værdien af kryptohack frem til april 2026. Det er private brancheestimater – ikke et endeligt statsligt regnskab. 32

Estimaterne dækker et bredere nordkoreansk tilknyttet netværk og kan ikke bruges som et mål for værdien af de konkrete Lazarus-wallets, der var involveret i overførslen 28. august.

Den amerikanske sanktionsramme er en anden del af baggrunden. De leverede kilder beskriver Lazarus Group som en sanktioneret, Nordkorea-tilknyttet hackeroperation og oplyser, at USA's finansministerium, OFAC, placerede gruppen på sin liste over særligt udpegede personer og enheder i 2022. 32 De leverede kilder dokumenterer ikke selv den efterspurgte sanktionsdato i 2019, så den dato kan ikke fastslås her.

Det ved vi stadig ikke

Flere centrale spørgsmål står åbne:

1. Hvem kontrollerede modtageradressen? Offentlige rapporter havde ikke identificeret den som en kryptobørs, en mixer eller en kendt Lazarus-kontrolleret wallet. 910
2. Var der tale om et forsøg på at hæve eller sælge bitcoinene? Det kan ikke konkluderes. En overførsel mellem wallets er ikke i sig selv dokumentation for et salg eller en veksling til traditionelle valutaer. 9
3. Var overførslen forbundet med Bybit? Ingen af de leverede kilder dokumenterer en bekræftet transaktion-for-transaktion-forbindelse mellem overførslen 28. august og Bybit-tyveriet.
4. Hvor meget kontrollerer Lazarus Group fortsat? Kilderne opgør forskellige ting – enkelte wallets, konsoliderede porteføljer og overvågede klynger – og tallene kan derfor ikke lægges sammen til én sikker saldo. 811

Den mest holdbare konklusion er derfor, at bitcoin-wallets, som tilskrives Lazarus Group, igen flyttede en stor mængde BTC efter betydelige overførsler i juli og august. Aktiviteten er et relevant signal for efterforskere og compliance-teams, men selve blockchain-transaktionen afslører ikke pengenes endelige destination eller formål.