Lazarus-ryhmä siirsi 19,4 miljoonan dollarin edestä bitcoinia – määränpäästä ei tietoa

Mitä 28.8.2026 tapahtui?

Pohjois-Koreaan yhdistetyn Lazarus-hakkeriryhmän hallitsemiksi merkittyjen bitcoin-lompakoiden kerrottiin aktivoituneen uudelleen ja siirtäneen 244,148 BTC:tä, jonka arvo oli tapahtumahetkellä noin 19,42 miljoonaa dollaria. Siirron nosti esiin lohkoketjuja seuraava Lookonchain. Samanaikaisissa raporteissa viitattiin Arkham Intelligencen tekemiin lompakkomerkintöihin. 2411

Vastaanottavaa bitcoin-osoitetta ei ole julkisesti tunnistettu. Saatavilla olevat tiedot eivät siksi kerro, päätyivätkö varat:

• keskitettyyn kryptopörssiin;
• mixer-palveluun tai muuhun jälkien peittämiseen tarkoitettuun palveluun; vai
• toiselle Lazarus-ryhmän tai Pohjois-Koreaan yhdistetyn tahon hallinnoimalle lompakolle.

Tärkeä rajaus on syytä pitää mielessä: lohkoketju osoittaa, että bitcoinit siirtyivät osoitteesta toiseen. Se ei yksin todista myyntiä, fiat-valuutaksi vaihtamista, rahanpesureittiä tai varojen lopullista edunsaajaa. 910

Siirto oli kolmas lyhyen ajan sisällä

Elokuun 28. päivän siirto seurasi kahta muuta Lazarus-ryhmään yhdistettyä huomattavaa bitcoin-liikettä:

Päivä	Siirretty määrä	Ilmoitettu arvo	Julkisesti ilmoitettu määränpää
30.7.2026	121,5 BTC	noin 7,74 miljoonaa dollaria	kaksi tunnistamatonta osoitetta 37
12.8.2026	262,2 BTC	noin 16,64 miljoonaa dollaria	uusi osoite 814
28.8.2026	244,148 BTC	noin 19,42 miljoonaa dollaria	ei julkisesti tunnistettu 910

Siirrettyä bitcoinia kertyi näissä kolmessa tapahtumassa yhteensä 627,848 BTC. Kun käytetään kunkin tapahtuman yhteydessä ilmoitettuja senhetkisiä dollarimääräisiä arvioita, siirtojen yhteisarvo oli noin 43,8 miljoonaa dollaria.

Summa on historiallinen arvio, ei kolikoiden tämänhetkinen arvo. Bitcoinin kurssin muuttuessa myös dollarimääräinen arvo muuttuu.

Elokuun 12. päivän raportoinnissa Lazarus-ryhmään yhdistettyjen seurattujen lompakoiden ketjussa näkyvien varojen kokonaismääräksi arvioitiin yli 73,06 miljoonaa dollaria. Luku koski laajempaa seurattujen lompakoiden joukkoa, ei välttämättä juuri sitä lähdelompakkoa, josta 28.8. tehty siirto lähti. 8

Kuinka paljon lähdelompakkoon jäi?

Julkiset raportit eivät muodosta yhdenmukaista ja riippumattomasti varmistettua kuvaa juuri 28.8. tehdyn siirron lähdelompakon jälkeisestä saldosta.

Yhdessä raportissa puhuttiin noin 40 miljoonan dollarin yhdistetystä omaisuussalkusta. Sen bitcoin-osuudeksi ilmoitettiin 267,526 BTC:tä, arvoltaan noin 20,97 miljoonaa dollaria kyseisellä bitcoin-kurssilla. 11

Lukuja on kuitenkin tulkittava varoen. Yksittäisen lompakon saldo, samaan toimijaan yhdistetty lompakkoryhmä ja laajempi Lazarus-kokonaisuus ovat eri mittareita. Saatavilla olevat raportit tukevat päätelmää, että Lazarukseen yhdistetyillä lompakoilla oli siirtojen jälkeenkin huomattavia varoja, mutta ne eivät anna yhtä varmistettua saldoa tietylle lähdelompakolle.

Liittyvätkö bitcoinit Bybitin hakkerointiin?

28.8. tehtyä siirtoa ei ole julkisesti todistettu yhden tietyn hakkeroinnin tuotoiksi. Sen merkitystä lisää kuitenkin ajoitus, sillä viranomaiset, kryptopörssit ja lohkoketjuanalyytikot jäljittävät yhä varoja, jotka liittyvät 21.2.2025 tapahtuneeseen Bybit-varkauteen. Tuolloin kryptopörssistä varastettiin virtuaaliomaisuutta noin 1,5 miljardin dollarin arvosta. 25

Yhdysvaltain liittovaltion poliisi FBI katsoi Pohjois-Korean olleen varkauden takana ja kutsui kyseistä kyberoperaatiota nimellä ”TraderTraitor”. FBI:n mukaan varastettuja varoja muutettiin bitcoiniksi ja muiksi kryptovaroiksi ja hajautettiin tuhansiin lompakoihin useissa lohkoketjuissa. 2526

Bybit nosti myöhemmin Yhdysvalloissa siviilikanteen Pohjois-Koreaa, sen tiedusteluelimeen kuuluvaa Reconnaissance General Bureau -organisaatiota sekä Lazarus-ryhmää vastaan. Pörssi on myös hakenut tunnistettujen varojen jäädyttämistä. 17

Tämä tausta selittää, miksi Lazarus-ryhmään merkittyjen lompakoiden uusi toiminta kiinnostaa tutkijoita ja kryptopalveluiden valvontatiimejä. Se ei kuitenkaan osoita, että 244,148 BTC:tä olisi peräisin Bybitin varkaudesta tai että varoja olisi oltu myymässä.

Pohjois-Koreaan yhdistetyn kryptovarkauden laajempi mittakaava

28.8. tehty siirto on pieni verrattuna Bybitin varkauteen, mutta se asettuu laajempaan kokonaisuuteen. Erään toimialan arvion mukaan Pohjois-Koreaan yhdistetyt toimijat varastivat kryptovaroja 2,02 miljardin dollarin edestä vuonna 2025. Arvion mukaan niiden osuus kaikista kryptohakkerointien arvoista oli 76 prosenttia huhtikuuhun 2026 mennessä. Kyse on yksityisen sektorin arviosta, ei kattavasta viranomaisraportista. 32

Luvut kuvaavat laajemman Pohjois-Koreaan yhdistetyn toimijaverkoston arvioitua toimintaa. Niitä ei pidä tulkita 28.8. siirtoon osallistuneiden Lazarus-lompakoiden saldoksi.

Yhdysvaltain pakotteet muodostavat tapahtumien oikeudellisen taustan. Lähteissä Lazarus-ryhmä kuvataan pakotteiden kohteena olevaksi Pohjois-Koreaan yhdistetyksi hakkeritoimijaksi, ja Yhdysvaltain ulkoministeriön pakotehallinnon OFAC:n kerrotaan lisänneen ryhmän Specially Designated Nationals -luetteloonsa vuonna 2022. 32

Mitä ei vieläkään tiedetä?

Keskeiset avoimet kysymykset ovat seuraavat:

1. Kuka hallitsi vastaanottavaa osoitetta? Julkisissa raporteissa sitä ei ollut tunnistettu pörssiksi, mixer-palveluksi tai tunnetuksi Lazarus-ryhmän lompakoksi. 910
2. Oliko kyse kotiutusyrityksestä? Tätä ei voida päätellä. Pelkkä lompakosta toiseen tehty siirto ei osoita myyntiä tai muuntamista fiat-valuutaksi. 9
3. Liittyikö siirto Bybitiin? Julkisesti saatavilla olevissa lähteissä ei ollut vahvistettua tapahtumatason yhteyttä 28.8. siirron ja Bybitin varkauden välillä.
4. Kuinka paljon Lazarus-ryhmällä on yhä hallinnassaan? Raportit tarkastelevat eri laajuisia kokonaisuuksia: yksittäisiä lompakoita, yhdistettyjä salkkuja ja seurattuja lompakkoryhmiä. Lukuja ei voi yhdistää yhdeksi varmaksi saldoksi. 811

Tällä hetkellä varovaisin johtopäätös on, että Lazarus-ryhmään yhdistetyt bitcoin-lompakot siirsivät jälleen suuren määrän BTC:tä heinä- ja elokuun merkittävien siirtojen jälkeen. Tapahtuma tarjoaa tutkijoille ja kryptopalveluiden vaatimustenmukaisuudesta vastaaville tiimeille tärkeän seurantavihjeen, mutta lohkoketjutapahtuma ei vielä paljasta varojen lopullista määränpäätä tai käyttötarkoitusta.