Lazarus przeniósł bitcoiny warte 19,4 mln dolarów. Cel transferu pozostaje nieznany

28 sierpnia 2026 r. portfele przypisywane powiązanej z Koreą Północną grupie Lazarus przeniosły 244,148 BTC, warte w momencie raportowania około 19,42 mln dolarów. O ruchu poinformowała firma Lookonchain, a w ówczesnych doniesieniach powoływano się również na oznaczenia portfeli w Arkham Intelligence. Adres odbiorczy nie został publicznie zidentyfikowany. 2411

Najważniejszy wniosek jest węższy, niż sugerują niektóre nagłówki: transakcja pokazuje przepływ bitcoinów między adresami, ale nie potwierdza sprzedaży, wypłaty do waluty fiat, konkretnej ścieżki prania pieniędzy ani tego, kto ostatecznie skorzysta ze środków. 910

Co wydarzyło się 28 sierpnia?

Lookonchain poinformował, że portfele powiązane z Lazarus ponownie stały się aktywne i przesłały 244,148 BTC, czyli około 19,42 mln dolarów. W powiązanych publikacjach Arkham Intelligence wskazywano jako źródło oznaczenia tych portfeli jako należących do grupy Lazarus. 2411

Publicznie dostępne informacje nie pozwoliły ustalić, czy odbiorcą był:

• scentralizowana giełda kryptowalut;
• mikser kryptowalut lub inna usługa utrudniająca śledzenie środków;
• kolejny portfel kontrolowany przez Lazarus albo podmiot powiązany z Koreą Północną.

To istotne rozróżnienie. Blockchain rejestruje, dokąd przeniesiono monety, ale ustalenie, kto kontroluje adres odbiorczy i jaki był cel transakcji, zwykle wymaga dodatkowego grupowania adresów, danych giełdowych lub dowodów zebranych w toku śledztwa.

Trzy transfery i około 43,8 mln dolarów

Transfer z 28 sierpnia nastąpił po dwóch innych znaczących ruchach przypisywanych portfelom powiązanym z Lazarus:

Data	Przeniesiona ilość BTC	Raportowana wartość	Publicznie wskazany odbiorca
30 lipca 2026 r.	121,5 BTC	około 7,74 mln dolarów	dwa niezidentyfikowane adresy 37
12 sierpnia 2026 r.	262,2 BTC	około 16,64 mln dolarów	nowo utworzony adres 814
28 sierpnia 2026 r.	244,148 BTC	około 19,42 mln dolarów	nie zidentyfikowano publicznie 910

Według wycen z momentu raportowania te trzy transfery oznaczają przeniesienie bitcoinów o łącznej wartości około 43,8 mln dolarów w ciągu mniej więcej miesiąca. Są to historyczne szacunki — ich wartość zmienia się wraz z kursem bitcoina, dlatego nie należy utożsamiać ich z obecną wartością tych monet.

12 sierpnia informowano, że monitorowane aktywa on-chain powiązane z Lazarus przekraczały 73,06 mln dolarów, głównie w BTC, USDT i ETH. 8 Kwota dotyczyła szerszej grupy monitorowanych portfeli, a niekoniecznie konkretnego portfela źródłowego wykorzystanego przy transferze z 28 sierpnia.

Ile środków zostało w portfelu źródłowym?

Publiczne doniesienia nie przedstawiają spójnie dokładnego salda konkretnego portfela, z którego 28 sierpnia wysłano środki. Jedno z nich opisywało skonsolidowany portfel o wartości około 40 mln dolarów i wskazywało 267,526 BTC wartych około 20,97 mln dolarów przy przyjętym wówczas kursie bitcoina. 11

Do tych danych należy podchodzić ostrożnie. Saldo pojedynczego adresu, skonsolidowany klaster portfeli i łączna wartość szerzej rozumianych zasobów przypisywanych Lazarus to trzy różne miary. Dostępne informacje uzasadniają wniosek, że po ostatnich transferach portfele przypisywane grupie nadal posiadały znaczne aktywa, ale nie podają jednej, niezależnie potwierdzonej kwoty pozostałej dokładnie w portfelu źródłowym.

Czy bitcoiny pochodziły z ataku na Bybit?

Nie ma publicznego dowodu, że transfer z 28 sierpnia stanowił wpływy z konkretnego ataku. Jego znaczenie wiąże się jednak częściowo z momentem, w którym do niego doszło: śledczy, giełdy i firmy analizujące blockchain nadal próbują prześledzić kryptowaluty powiązane z kradzieżą z giełdy Bybit z 21 lutego 2025 r., kiedy skradziono aktywa cyfrowe o wartości około 1,5 mld dolarów. 25

Federalne Biuro Śledcze (FBI) przypisało tę kradzież Korei Północnej i określiło operację kryptonimem „TraderTraitor”. Według agencji skradzione aktywa zostały zamienione na bitcoiny i inne kryptowaluty, a następnie rozproszone w tysiącach portfeli na wielu blockchainach. 2526

Bybit złożył później w amerykańskim sądzie cywilny pozew przeciwko Korei Północnej, jej Biuru Rozpoznania Generalnego oraz grupie Lazarus, starając się również doprowadzić do zamrożenia zidentyfikowanych skradzionych aktywów. 17

To właśnie ten kontekst sprawia, że każda nowa aktywność w portfelach oznaczonych jako powiązane z Lazarus przyciąga uwagę. Nie dowodzi on jednak, że 244,148 BTC przeniesionych 28 sierpnia pochodziło z ataku na Bybit ani że środki były właśnie wyprzedawane.

Szersza skala północnokoreańskich kradzieży kryptowalut

Transfer z 28 sierpnia jest niewielki w porównaniu z kradzieżą z Bybit, ale wpisuje się w szerszy wzorzec kradzieży kryptowalut przypisywanych podmiotom powiązanym z Koreą Północną. Według jednego z szacunków branżowych podmioty te ukradły w 2025 r. kryptowaluty o wartości 2,02 mld dolarów, a do kwietnia 2026 r. odpowiadały za 76 proc. wartości wszystkich ataków na rynek kryptowalut. Są to szacunki sektora prywatnego, a nie ostateczne rządowe rozliczenie. 32

Dane te opisują aktywność szerszego ekosystemu powiązanego z Koreą Północną. Nie należy więc traktować ich jako wartości aktywów znajdujących się w portfelach Lazarus uczestniczących w transferze z 28 sierpnia.

Ważnym elementem tła są także amerykańskie sankcje. Dostępne materiały opisują Lazarus jako objętą sankcjami operację hakerską powiązaną z Koreańską Republiką Ludowo-Demokratyczną i wskazują, że Biuro Kontroli Aktywów Zagranicznych Departamentu Skarbu USA (OFAC) umieściło grupę na liście Specially Designated Nationals w 2022 r. 32 Przekazane źródła nie dokumentują niezależnie wskazywanej daty sankcji z 2019 r., dlatego nie można przedstawiać jej tutaj jako ustalonego faktu.

Co nadal pozostaje niewiadomą?

Najważniejsze pytania wciąż nie mają odpowiedzi:

1. Kto kontrolował adres odbiorczy? Publiczne raporty nie wskazywały, że był to adres giełdy, miksera lub znanego portfela kontrolowanego przez Lazarus. 910
2. Czy transfer był próbą wypłaty środków? Nie ma na to dowodu. Sam transfer między portfelami nie oznacza sprzedaży ani zamiany kryptowalut na walutę fiat. 9
3. Czy był powiązany z Bybit? Żadne z przytoczonych źródeł nie przedstawia potwierdzonego, transakcyjnego połączenia między ruchem z 28 sierpnia a kradzieżą z giełdy.
4. Ile środków nadal kontroluje Lazarus? Raporty dotyczą różnych zakresów — pojedynczych portfeli, skonsolidowanych portfeli i monitorowanych klastrów — dlatego nie można sumować ich danych w celu uzyskania jednej definitywnej kwoty. 811

Najbardziej ostrożna interpretacja jest więc następująca: portfele bitcoinowe przypisywane Lazarus przeniosły kolejną dużą partię BTC po serii znaczących transferów w lipcu i sierpniu. To ważny sygnał dla śledczych i zespołów compliance, ale sama transakcja on-chain nie ujawnia ostatecznego miejsca ani celu przepływu środków.