Lazarus flytter bitcoin for 19,42 mio. dollar – men destinationen er stadig ukendt

En wallet, som Arkham Intelligence har mærket som forbundet med Nordkoreas Lazarus Group, flyttede 244.148 BTC til en ukendt modtager den 28. august. På transaktionstidspunktet svarede beløbet til cirka 19,42 mio. dollar. Lookonchain og andre blockchain-overvågere registrerede bevægelsen, men den modtagende adresse er ikke offentligt identificeret. Omkring 267,5 BTC skulle efterfølgende være tilbage i den oprindelige wallet. 810

Den mest forsigtige konklusion er, at der har været en betydelig bevægelse på blockchainen. Det er derimod ikke i sig selv dokumentation for et salg, et nyt hack eller en konkret hvidvaskningsoperation. Blockchainen viser, hvor mønterne flyttes hen – ikke nødvendigvis hvem der kontrollerer adressen, eller hvorfor overførslen blev foretaget.

Hvad skete der den 28. august?

Overførslen kom fra en adresse, som Arkham kalder “Lazarus Group: Hacker”. De rapporterede 244.148 BTC havde en værdi på cirka 19,42 mio. dollar på tidspunktet for flytningen. Modtager-wallet’en er ikke blevet offentligt identificeret i den tilgængelige rapportering. 810

Det er en vigtig skelnen. En overførsel mellem wallets kan være en samling af midler, en opdeling i flere beholdninger, forberedelse til en senere transaktion eller en bevægelse mod en kryptobørs eller anden tjeneste. Uden en kendt modtager, en identificeret indbetaling til en tjeneste eller yderligere kriminaltekniske oplysninger kan ingen af forklaringerne fastslås.

Den rapporterede restbeholdning på omkring 267,526 BTC viser samtidig, at afsender-wallet’en fortsat havde en betydelig bitcoin-beholdning efter overførslen. 8

En række store bitcoin-bevægelser

Overførslen den 28. august fulgte efter to andre rapporterede bevægelser fra wallets, der er knyttet til Lazarus:

• 30. juli: 121,5 BTC til en værdi af cirka 7,74 mio. dollar blev sendt til to uidentificerede wallets. 24
• Midten af august: 262,2 BTC til en værdi af cirka 16,64 mio. dollar blev ifølge Lookonchain sendt til en ny adresse. 7
• 28. august: 244.148 BTC til en værdi af cirka 19,42 mio. dollar blev flyttet fra den Arkham-mærkede wallet. 810

Tilsammen udgør de rapporterede overførsler 627.848 BTC og cirka 43,8 mio. dollar, beregnet ud fra de oplyste værdier på transaktionstidspunkterne. Omfanget er stort nok til at berettige fortsat overvågning, men summerne afslører ikke, hvad midlerne i sidste ende skal bruges til.

On-chain-analytikere kan beskrive bevægelserne som forenelige med samling af midler, opdeling af beholdninger eller mulig forberedelse til hvidvask. Det er efterforskningsmæssige fortolkninger – ikke konklusioner, der kan bevises alene ud fra overførslerne. De centrale ubesvarede spørgsmål er fortsat, hvem der kontrollerer modtager-wallet’ene, om adresserne indgår i samme klynge, og om en modtager kan forbindes med en kryptobørs, mægler, mixer, bridge eller anden identificerbar tjeneste.

Er bitcoinene forbundet med Bybit-hacket?

Tidspunktet har vakt ekstra opmærksomhed, fordi kryptobørsen Bybit den 7. august annoncerede et amerikansk søgsmål mod Nordkorea, landets efterretningsorgan Reconnaissance General Bureau og Lazarus Group. Søgsmålet handler om tyveriet på cirka 1,5 mia. dollar fra februar 2025. FBI har tilskrevet angrebet nordkoreanske aktører, som myndigheden sporer under navnet TraderTraitor. 2127

Bybits retssag omfatter bestræbelser på at spore og sikre aktiver. Ifølge rapporteringen har en amerikansk domstol udstedt et foreløbigt påbud, der omfatter bestemte identificerede aktiver hos ukendte sagsøgte. Sagen giver også Bybit mulighed for at indhente oplysninger, som kan hjælpe med at identificere mellemled og transaktionshistorik. 2124

De tilgængelige oplysninger dokumenterer dog ikke en forbindelse på transaktionsniveau mellem bitcoin-overførslen den 28. august og Bybit-midlerne. Bybit-tyveriet blev primært beskrevet som et tyveri af Ethereum, mens den aktuelle overførsel bestod af BTC. Konverteringer mellem aktiver og sporing på tværs af blockchains kan i princippet skabe en forbindelse, men den skal påvises gennem analyse af konkrete adresser og transaktioner. Indtil det sker, vil det være at gå længere end beviserne at kalde de 244.148 BTC for Bybit-midler.

Hvorfor bevægelsen stadig er vigtig

Overførslen er væsentlig, fordi den viser fortsat aktivitet i wallets, der tilskrives en gruppe, som forbindes med gentagne kryptotyverier og komplekse flytninger af midler. Chainalysis vurderede, at nordkoreanske hackere stjal mindst 2,02 mia. dollar i kryptovaluta i 2025, hvilket løftede det samlede estimerede tyveri knyttet til Nordkorea til mindst 6,75 mia. dollar. Bybit-kompromitteringen i februar 2025 var en væsentlig del af 2025-tallet. 45

Det er den bredere kontekst, der får en stor overførsel fra en Lazarus-mærket adresse til at udløse øjeblikkelig opmærksomhed. Kryptobørser, depotforvaltere, bridges og blockchain-efterforskere vil især holde øje med de næste skridt: indbetalinger til identificerbare tjenester, hurtig opsplitning i nye wallets, bytte på tværs af blockchains eller andre aktiviteter, der kan afsløre, hvem der kontrollerer midlerne.

Wallet-mærkater er dog værktøjer til attribution – ikke afgørelser fra en domstol. En adresseetiket kan være nyttig til at følge en klynge af adresser, men den beviser ikke automatisk, at alle modtagere kontrolleres af Lazarus Group, eller at alle aktiver i klyngen stammer fra det samme tyveri.

Hvad ved vi – og hvad ved vi ikke?

Det, der fremgår af de tilgængelige rapporter:

• En wallet, som Arkham har mærket som Lazarus-relateret, flyttede 244.148 BTC den 28. august. 810
• Den rapporterede værdi var cirka 19,42 mio. dollar. 810
• Omkring 267,5 BTC skulle være tilbage i den oprindelige wallet. 8
• Den offentlige modtageradresse er ikke identificeret i den tilgængelige rapportering. 8
• Der blev også rapporteret om store overførsler den 30. juli og i midten af august. 27

Det, rapporterne ikke fastslår:

• At overførslen var et salg eller et kontant-udtræk.
• At der var tale om et nyt tyveri.
• At den indgik i en bekræftet hvidvaskningsrute.
• At midlerne stammede fra Bybit-hacket.
• At den uidentificerede modtager kontrolleres af Lazarus Group.

Den klareste konklusion er derfor begrænset, men stadig vigtig: Aktiviteten i Lazarus-relaterede wallets er fortsat høj eller er blevet intensiveret gennem flere store bitcoin-bevægelser, mens ejerskab og formål for modtageradresserne stadig er uafklaret. Den næste identificerbare kontakt med en kryptobørs eller anden tjeneste – eller en konkret kriminalteknisk attribution – vil fortælle mere end selve overførslen.