Lazarus sposta 19,42 milioni di dollari in Bitcoin: cosa mostrano i dati on-chain

Un wallet etichettato da Arkham Intelligence come collegato al gruppo nordcoreano Lazarus ha trasferito 244,148 BTC, per un valore di circa 19,42 milioni di dollari, il 28 agosto. Lookonchain e altre fonti hanno segnalato l’operazione, ma l’indirizzo ricevente non è stato identificato pubblicamente. Dopo il trasferimento, nel wallet d’origine sarebbero rimasti circa 267,5 BTC. 810

La lettura più prudente è che si sia verificato un rilevante movimento on-chain, non che vi siano prove definitive di un incasso, di un nuovo attacco informatico o di un’operazione di riciclaggio. La blockchain mostra dove vengono trasferite le criptovalute, ma non necessariamente chi controlla l’indirizzo di destinazione o quale sia lo scopo dell’operazione.

Che cosa è successo il 28 agosto?

Il trasferimento è partito da un indirizzo che Arkham identifica come “Lazarus Group: Hacker”. Al momento del movimento, i 244,148 BTC erano valutati circa 19,42 milioni di dollari. Nelle informazioni disponibili, il wallet di destinazione non è stato associato pubblicamente a un soggetto o a un servizio specifico. 810

La distinzione è importante. Un trasferimento tra wallet può indicare il consolidamento di fondi, la loro suddivisione, la preparazione di un’operazione successiva oppure un eventuale spostamento verso un exchange o un altro servizio. Senza un destinatario noto, un deposito riconducibile a una piattaforma o ulteriori elementi di analisi forense, nessuna di queste ipotesi può essere considerata un fatto accertato.

Il saldo residuo segnalato, pari a circa 267,526 BTC, indica inoltre che il wallet d’origine conservava ancora una quantità significativa di Bitcoin dopo l’operazione. 8

Un mese segnato da altri grandi trasferimenti

Il movimento del 28 agosto segue altre due operazioni attribuite a wallet collegati a Lazarus:

• 30 luglio: 121,5 BTC, per un valore di circa 7,74 milioni di dollari, trasferiti verso due wallet non identificati. 24
• Metà agosto: 262,2 BTC, valutati circa 16,64 milioni di dollari, spostati verso un nuovo indirizzo, secondo Lookonchain. 7
• 28 agosto: 244,148 BTC, per circa 19,42 milioni di dollari, trasferiti dal wallet etichettato da Arkham. 810

Nel complesso, le tre operazioni ammontano a 627,848 BTC e a circa 43,8 milioni di dollari, calcolati sulla base delle valutazioni riportate per ciascun trasferimento. La sequenza è abbastanza rilevante da giustificare un monitoraggio continuo, ma il suo valore complessivo non chiarisce la destinazione finale o la funzione dei fondi.

Gli analisti on-chain possono descrivere movimenti di questo tipo come compatibili con il consolidamento dei wallet, la segmentazione dei fondi o la preparazione di un possibile riciclaggio. Si tratta però di interpretazioni investigative, non di conclusioni dimostrate dai trasferimenti. Restano da chiarire soprattutto tre aspetti: chi controlla i wallet riceventi, se gli indirizzi appartengano allo stesso gruppo e se qualcuno di essi sia collegato a un exchange, a un broker, a un mixer, a un bridge o a un altro servizio identificabile.

I Bitcoin sono collegati all’hack di Bybit?

La tempistica ha attirato attenzione perché il 7 agosto Bybit ha annunciato una causa negli Stati Uniti contro la Corea del Nord, il suo Reconnaissance General Bureau e Lazarus per il furto di circa 1,5 miliardi di dollari avvenuto nel febbraio 2025. L’FBI ha attribuito l’attacco ad attori nordcoreani indicati con il nome TraderTraitor. 2127

L’azione legale di Bybit comprende iniziative per rintracciare e preservare gli asset. Le informazioni disponibili descrivono un’ingiunzione preliminare relativa ad alcuni beni già identificati e detenuti da soggetti non identificati, oltre a procedure di discovery ordinate dal tribunale per individuare intermediari e ricostruire la cronologia delle transazioni. 2124

Tuttavia, le prove disponibili non stabiliscono un collegamento a livello di singola transazione tra il trasferimento di Bitcoin del 28 agosto e i proventi dell’hack di Bybit. Il furto ai danni dell’exchange è stato descritto principalmente come un furto di Ethereum, mentre il movimento del 28 agosto riguarda BTC. Le conversioni tra asset e il tracciamento tra blockchain possono creare collegamenti, ma questi devono essere dimostrati attraverso un’analisi forense degli indirizzi. Fino a quando gli investigatori non identificheranno un legame concreto, definire quei 244,148 BTC come fondi provenienti da Bybit significherebbe andare oltre le prove disponibili.

Perché il movimento resta significativo

L’operazione è importante perché mostra che i wallet attribuiti a un gruppo associato a ripetuti furti di criptovalute e a complessi trasferimenti di fondi continuano a essere attivi. Chainalysis ha stimato che gli hacker collegati alla Corea del Nord abbiano sottratto almeno 2,02 miliardi di dollari in criptovalute nel 2025, portando la stima cumulativa dei furti riconducibili alla Corea del Nord ad almeno 6,75 miliardi di dollari. Il compromesso di Bybit del febbraio 2025 ha contribuito in modo significativo al totale del 2025. 45

È questo il contesto più ampio che spiega perché un grande trasferimento da un indirizzo etichettato come riconducibile a Lazarus venga esaminato immediatamente. Exchange, custodian, bridge e società di analisi blockchain osservano i passaggi successivi: eventuali depositi presso servizi identificabili, la rapida suddivisione dei fondi tra nuovi wallet, gli swap tra blockchain o altre attività capaci di rivelare chi controlla le criptovalute.

Le etichette dei wallet, però, sono strumenti di attribuzione e tracciamento, non verdetti giudiziari. Un’etichetta può essere molto utile per seguire un gruppo di indirizzi, ma non dimostra automaticamente che ogni wallet ricevente sia controllato da Lazarus o che tutti gli asset presenti nel gruppo provengano dallo stesso furto.

Che cosa è noto e che cosa no

Elementi riportati dalle fonti disponibili:

• Un wallet etichettato da Arkham come collegato a Lazarus ha trasferito 244,148 BTC il 28 agosto. 810
• Il valore indicato era di circa 19,42 milioni di dollari. 810
• Nel wallet d’origine sarebbero rimasti circa 267,5 BTC. 8
• La destinazione non è stata identificata pubblicamente nelle informazioni disponibili. 8
• Altri trasferimenti di grandi dimensioni sono stati segnalati il 30 luglio e a metà agosto. 27

Elementi che questi dati non dimostrano:

• Che il trasferimento fosse una vendita o un incasso.
• Che fosse legato a un nuovo furto.
• Che facesse parte di un percorso di riciclaggio confermato.
• Che i fondi provenissero dall’hack di Bybit.
• Che il destinatario non identificato fosse controllato da Lazarus.

La conclusione più solida è quindi circoscritta, ma rilevante: l’attività dei wallet collegati a Lazarus è rimasta intensa, o comunque attiva, attraverso diversi grandi trasferimenti di Bitcoin, mentre la proprietà e lo scopo degli indirizzi riceventi restano irrisolti. Il prossimo passaggio verso un servizio identificabile o una futura attribuzione forense offrirà probabilmente più informazioni del trasferimento considerato da solo.