Lazarus sposta 19,4 milioni di dollari in Bitcoin: la destinazione resta sconosciuta

Il 28 agosto 2026, portafogli attribuiti al gruppo Lazarus, l'operazione di hacking legata alla Corea del Nord, hanno trasferito 244,148 BTC, per un valore di circa 19,42 milioni di dollari al momento della segnalazione. A rilevare il movimento è stata Lookonchain, mentre i resoconti pubblicati nello stesso periodo hanno citato l'etichettatura dei portafogli da parte di Arkham Intelligence. L'indirizzo ricevente non è stato identificato pubblicamente. 2411

La conclusione più prudente è anche la più importante: la transazione dimostra uno spostamento tra indirizzi Bitcoin, ma non una vendita, un incasso in valuta tradizionale, un percorso di riciclaggio o l'identità del beneficiario finale. 910

Che cosa è successo il 28 agosto?

Lookonchain ha riferito che i portafogli associati a Lazarus erano tornati attivi e avevano trasferito 244,148 BTC, equivalenti a circa 19,42 milioni di dollari. Nei resoconti collegati, Arkham Intelligence è stata citata per l'attribuzione dei portafogli al gruppo. 2411

Le informazioni disponibili non chiariscono se i Bitcoin siano stati inviati a:

• un exchange centralizzato di criptovalute;
• un mixer, cioè un servizio che cerca di rendere più difficile ricostruire la provenienza dei fondi;
• un altro portafoglio controllato da Lazarus o da un'entità collegata alla Corea del Nord.

L'incertezza è essenziale per interpretare correttamente il dato. La blockchain registra il trasferimento delle monete, ma stabilire chi controlli l'indirizzo di destinazione e quale sia lo scopo dell'operazione richiede in genere ulteriori analisi: raggruppamento degli indirizzi, dati degli exchange o elementi raccolti dagli investigatori.

Tre trasferimenti per circa 43,8 milioni di dollari

Il movimento del 28 agosto si inserisce in una sequenza di tre trasferimenti attribuiti a portafogli collegati a Lazarus:

Data	Bitcoin trasferiti	Valore riportato	Destinazione resa pubblica
30 luglio 2026	121,5 BTC	Circa 7,74 milioni di dollari	Due indirizzi non identificati 37
12 agosto 2026	262,2 BTC	Circa 16,64 milioni di dollari	Un indirizzo creato di recente 814
28 agosto 2026	244,148 BTC	Circa 19,42 milioni di dollari	Non identificata pubblicamente 910

Sommando le valutazioni riportate al momento dei singoli movimenti, i tre trasferimenti rappresentano circa 43,8 milioni di dollari in Bitcoin spostati nell'arco di un mese. Si tratta di stime storiche: il valore in dollari varia con il prezzo del Bitcoin e non coincide necessariamente con il valore attuale delle monete.

Il 12 agosto, alcune analisi collocavano sopra i 73,06 milioni di dollari gli asset on-chain monitorati e collegati a Lazarus, soprattutto BTC, USDT ed ETH. La cifra riguardava un insieme più ampio di portafogli monitorati e non necessariamente lo specifico portafoglio di partenza del trasferimento del 28 agosto. 8

Quanto resta nel portafoglio di origine?

I resoconti pubblici disponibili non stabiliscono in modo uniforme il saldo preciso del portafoglio che ha effettuato il trasferimento del 28 agosto. Una delle ricostruzioni parlava di un portafoglio aggregato dal valore di circa 40 milioni di dollari, con 267,526 BTC valutati circa 20,97 milioni di dollari al prezzo del Bitcoin indicato in quel rapporto. 11

Questi numeri vanno letti con cautela. Il saldo di un singolo indirizzo, il patrimonio di un cluster consolidato e le disponibilità complessive attribuite a Lazarus sono misure diverse e non possono essere sommate automaticamente.

Le informazioni disponibili sostengono comunque una conclusione più generale: dopo i trasferimenti recenti, i portafogli attribuiti a Lazarus conservavano ancora asset rilevanti. Non emerge però un unico saldo post-trasferimento verificato in modo indipendente per il portafoglio di origine.

Il Bitcoin è collegato al furto di Bybit?

Non è stato dimostrato pubblicamente che il trasferimento del 28 agosto rappresenti i proventi di uno specifico attacco informatico. La sua rilevanza dipende anche dal contesto: investigatori, exchange e società di analisi blockchain stanno tracciando gli asset associati al furto subito da Bybit il 21 febbraio 2025, quando furono sottratti circa 1,5 miliardi di dollari in asset virtuali. 25

L'FBI ha attribuito il furto alla Corea del Nord e ha indicato l'operazione con il nome "TraderTraitor". Secondo l'agenzia, gli asset rubati sono stati convertiti in Bitcoin e altre criptovalute e distribuiti attraverso migliaia di portafogli su diverse blockchain. 2526

Bybit ha poi avviato una causa civile negli Stati Uniti contro la Corea del Nord, il suo Reconnaissance General Bureau e il gruppo Lazarus, chiedendo anche il congelamento degli asset rubati identificati. 17

Questo quadro spiega perché ogni nuova attività nei portafogli etichettati come riconducibili a Lazarus attiri attenzione. Non dimostra però che i 244,148 BTC trasferiti il 28 agosto provenissero da Bybit, né che fossero destinati alla liquidazione.

La dimensione più ampia dei furti nordcoreani

I 244,148 BTC rappresentano una somma contenuta rispetto al caso Bybit, ma il trasferimento si colloca in un quadro più ampio di furti di criptovalute attribuiti ad attori legati alla Corea del Nord. Una stima del settore quantifica in 2,02 miliardi di dollari il valore delle criptovalute rubate da attori nordcoreani nel 2025 e calcola che questi soggetti abbiano rappresentato il 76% del valore complessivo degli attacchi alle criptovalute fino ad aprile 2026. Si tratta di stime private, non di una contabilità definitiva di un'autorità governativa. 32

I dati si riferiscono inoltre a un ecosistema nordcoreano più ampio e non possono essere interpretati come il valore dei portafogli Lazarus coinvolti nel trasferimento del 28 agosto.

Sul piano delle sanzioni, le fonti disponibili descrivono Lazarus come un'operazione di hacking collegata alla Corea del Nord e soggetta a sanzioni statunitensi. L'OFAC, l'ufficio del Dipartimento del Tesoro americano che applica le sanzioni finanziarie, ha inserito il gruppo nella lista SDN — quella degli individui e delle entità soggetti a blocco — nel 2022. 32

Che cosa resta da capire

Diverse domande decisive non hanno ancora una risposta:

1. Chi controlla l'indirizzo ricevente? I resoconti pubblici non lo hanno identificato come un exchange, un mixer o un portafoglio noto sotto il controllo di Lazarus. 910
2. È stato un tentativo di incasso? Non è possibile dirlo. Un trasferimento da un portafoglio a un altro non dimostra, da solo, una vendita o una conversione in valuta tradizionale. 9
3. Esiste un legame con Bybit? Nessuna delle fonti disponibili ha fornito un collegamento confermato, a livello di transazione, tra il movimento del 28 agosto e il furto subito dall'exchange.
4. Quanto controlla ancora Lazarus? Le stime hanno oggetti diversi — singoli portafogli, portafogli aggregati e cluster monitorati — e non possono essere riunite in un unico saldo definitivo. 811

Per ora, l'interpretazione sostenibile è questa: portafogli Bitcoin attribuiti a Lazarus hanno spostato un'altra quantità significativa di BTC dopo una serie di trasferimenti rilevanti tra luglio e agosto. Il movimento è un segnale utile per investigatori e team di conformità, ma la transazione on-chain non rivela da sola né la destinazione finale dei fondi né il loro scopo.