Was die Blockchain über den Bitcoin-Transfer der Lazarus Group zeigt

Ein von Arkham Intelligence als „Lazarus Group: Hacker“ markiertes Wallet hat am 28. August 244,148 BTC verschoben. Zum Zeitpunkt der Transaktion entsprach dies etwa 19,42 Millionen US-Dollar. Lookonchain und weitere Beobachter meldeten den Transfer, doch die empfangende Adresse wurde in der verfügbaren Berichterstattung nicht öffentlich identifiziert. Rund 267,5 BTC sollen danach im Ausgangs-Wallet verblieben sein. 810

Die vorsichtigste Einordnung lautet daher: Es handelt sich um eine bedeutende Bewegung auf der Blockchain – nicht um einen bestätigten Verkauf, einen neuen Hack oder einen nachgewiesenen Geldwäschevorgang. Die Blockchain zeigt, wohin Coins transferiert wurden. Sie zeigt jedoch nicht automatisch, wer das Ziel-Wallet kontrolliert oder welchem Zweck die Transaktion dient.

Was geschah am 28. August?

Die Transaktion ging von einer Adresse aus, die Arkham der Lazarus Group zuordnet. Die Gruppe gilt als nordkoreanischer, staatlich verbundener Akteur, der wiederholt mit Angriffen auf Kryptodienste und komplexen Bewegungen gestohlener Vermögenswerte in Verbindung gebracht wurde. 810

Die unbekannte Empfängeradresse ist für die Bewertung entscheidend. Ein Transfer zwischen Wallets kann beispielsweise der Zusammenlegung von Guthaben, der Aufteilung von Geldern oder der Vorbereitung einer späteren Transaktion dienen. Ebenso könnte eine Bewegung in Richtung einer Börse oder eines anderen Dienstes folgen. Ohne eine bekannte Gegenpartei, eine identifizierte Einzahlung bei einem Dienstleister oder zusätzliche forensische Belege lässt sich keine dieser Erklärungen als Tatsache behandeln.

Der gemeldete Restbestand von etwa 267,526 BTC zeigt außerdem, dass das Ausgangs-Wallet nach dem Transfer weiterhin eine beträchtliche Bitcoin-Position hielt. 8

Drei große Bewegungen innerhalb eines Monats

Der Transfer vom 28. August steht nicht isoliert da. Zuvor wurden zwei weitere große Bewegungen aus Lazarus-bezogenen Wallets gemeldet:

• 30. Juli: 121,5 BTC im Wert von etwa 7,74 Millionen US-Dollar gingen an zwei nicht identifizierte Wallets. 24
• Mitte August: Laut Lookonchain wurden 262,2 BTC im Wert von rund 16,64 Millionen US-Dollar an eine neue Adresse transferiert. 7
• 28. August: 244,148 BTC im Wert von etwa 19,42 Millionen US-Dollar wurden aus dem von Arkham markierten Wallet bewegt. 810

Zusammengenommen entsprechen die drei Transfers 627,848 BTC und nach den jeweils gemeldeten Bewertungen rund 43,8 Millionen US-Dollar. Die Größenordnung rechtfertigt eine genaue Beobachtung. Über den endgültigen Zweck der Gelder sagt die Summe allein jedoch nichts aus.

On-Chain-Analysten können solche Bewegungen als Hinweis auf eine Zusammenlegung, Aufteilung oder mögliche Vorbereitung einer Geldwäsche interpretieren. Das sind Untersuchungshypothesen, keine Schlussfolgerungen, die sich allein aus den Transfers beweisen lassen. Offen bleibt insbesondere, wer die jeweiligen Ziel-Wallets kontrolliert, ob sie zu einem gemeinsamen Adresscluster gehören und ob eine Verbindung zu einer Börse, einem Broker, einem Mixer, einer Bridge oder einem anderen identifizierbaren Dienst besteht.

Besteht eine Verbindung zum Bybit-Hack?

Aufmerksamkeit erhält der Transfer auch wegen seines zeitlichen Zusammenhangs mit Bybits Vorgehen gegen Nordkorea, dessen Aufklärungsbüro Reconnaissance General Bureau und die Lazarus Group. Die Kryptobörse kündigte am 7. August eine Klage in den USA an, um Vermögenswerte aus dem Diebstahl von rund 1,5 Milliarden US-Dollar im Februar 2025 zurückzuverfolgen und zu sichern. Das FBI hatte den Angriff nordkoreanischen Akteuren zugerechnet, die unter der Bezeichnung TraderTraitor verfolgt werden. 2127

Im Rahmen des Verfahrens geht es unter anderem um das Einfrieren bestimmter identifizierter Vermögenswerte und um gerichtlich unterstützte Auskunftsersuchen zu Intermediären und Transaktionsverläufen. 2124

Die verfügbaren Informationen belegen jedoch keine Verbindung auf Transaktionsebene zwischen den 244,148 BTC vom 28. August und den Bybit-Geldern. Der Bybit-Diebstahl wurde vor allem als Angriff auf Ethereum-Vermögenswerte beschrieben, während die aktuelle Bewegung Bitcoin betrifft. Eine Verbindung über Asset-Tausch oder Cross-Chain-Transaktionen ist grundsätzlich möglich, müsste aber durch eine Analyse konkreter Adressen und Transaktionspfade nachgewiesen werden.

Solange ein solcher Nachweis fehlt, wäre es eine Übertreibung, die 244,148 BTC als Bybit-Gelder zu bezeichnen.

Warum der Transfer trotzdem relevant ist

Die Bewegung ist bedeutsam, weil sie anhaltende Aktivität in Wallets zeigt, die einem Akteur mit einer langen Historie von Krypto-Diebstählen und komplizierten Geldbewegungen zugerechnet werden. Chainalysis schätzte, dass mit Nordkorea verbundene Hacker im Jahr 2025 mindestens 2,02 Milliarden US-Dollar in Kryptowährungen erbeuteten. Damit stieg die kumulierte Schätzung für mit der Demokratischen Volksrepublik Korea verbundene Diebstähle auf mindestens 6,75 Milliarden US-Dollar. Der Bybit-Angriff war ein wesentlicher Bestandteil der Summe für 2025. 45

Dieser Kontext erklärt, warum ein großer Transfer aus einer Lazarus-markierten Adresse sofortige Aufmerksamkeit auslöst. Börsen, Verwahrer, Bridges und Blockchain-Ermittler werden vor allem die nächsten Schritte beobachten: Einzahlungen bei eindeutig identifizierbaren Diensten, eine schnelle Aufteilung auf zahlreiche neue Wallets, Cross-Chain-Swaps oder andere Aktivitäten, die Rückschlüsse auf die Kontrolle der Gelder erlauben könnten.

Dennoch sind Wallet-Labels in erster Linie Instrumente zur Zuordnung und Beobachtung. Sie ersetzen keine gerichtliche Feststellung. Eine Markierung kann bei der Nachverfolgung von Adressclustern sehr hilfreich sein, beweist aber nicht automatisch, dass jedes empfangende Wallet von der Lazarus Group kontrolliert wird oder dass alle Vermögenswerte eines Clusters aus demselben Diebstahl stammen.

Was bekannt ist – und was nicht

Nach der verfügbaren Berichterstattung bekannt:

• Ein von Arkham als Lazarus-bezogen markiertes Wallet bewegte am 28. August 244,148 BTC. 810
• Der Wert wurde mit rund 19,42 Millionen US-Dollar angegeben. 810
• Etwa 267,5 BTC sollen im Ausgangs-Wallet verblieben sein. 8
• Das öffentliche Ziel-Wallet wurde in den verfügbaren Berichten nicht identifiziert. 8
• Bereits am 30. Juli und Mitte August waren weitere große Transfers gemeldet worden. 27

Durch diese Berichte nicht belegt:

• dass es sich um einen Verkauf oder eine Auszahlung handelte;
• dass ein neuer Diebstahl stattgefunden hat;
• dass der Transfer Teil einer bestätigten Geldwäscheroute war;
• dass die Gelder aus dem Bybit-Hack stammen;
• dass das unbekannte Empfänger-Wallet von der Lazarus Group kontrolliert wird.

Die belastbarste Schlussfolgerung bleibt daher begrenzt, aber relevant: Die Aktivität in Lazarus-bezogenen Wallets ist über mehrere große Bitcoin-Bewegungen hinweg deutlich sichtbar, während Eigentümer und Zweck der Empfängeradressen ungeklärt bleiben. Ein späterer Kontakt zu einem identifizierbaren Dienst oder eine belastbare forensische Zuordnung wäre aussagekräftiger als der Transfer allein.