Lazarus przeniósł 244,148 BTC. Co naprawdę pokazuje blockchain?

Portfel oznaczony przez Arkham Intelligence jako powiązany z północnokoreańską grupą Lazarus przesłał 244,148 BTC, warte w chwili transferu około 19,42 mln dolarów, 28 sierpnia. Transakcję odnotowały Lookonchain i inne serwisy monitorujące blockchain, jednak adres odbiorcy nie został publicznie zidentyfikowany. Według dostępnych doniesień w portfelu źródłowym pozostało około 267,5 BTC. 810

Najostrożniejszy wniosek jest prosty: doszło do znaczącego transferu on-chain. Sam zapis w blockchainie nie potwierdza jednak sprzedaży bitcoinów, nowego włamania ani operacji prania pieniędzy. Blockchain pokazuje, dokąd trafiły środki, ale nie zawsze ujawnia, kto kontroluje dany adres i dlaczego wykonano przelew.

Co wydarzyło się 28 sierpnia?

Transfer wyszedł z adresu, który Arkham opisuje jako „Lazarus Group: Hacker”. Wartość 244,148 BTC oszacowano wówczas na około 19,42 mln dolarów. Publicznie dostępne doniesienia nie wskazują, do kogo należał portfel odbiorczy. 810

To ważne zastrzeżenie. Przelew między portfelami może oznaczać konsolidację środków, ich podział na mniejsze części, przygotowanie do kolejnej transakcji albo przesunięcie w kierunku giełdy czy innej usługi. Bez znanego odbiorcy, potwierdzonego depozytu na giełdzie lub dodatkowej analizy śledczej żadnego z tych scenariuszy nie można uznać za ustalony fakt.

Raportowane saldo wynoszące około 267,526 BTC wskazuje ponadto, że po transferze portfel źródłowy nadal posiadał znaczącą ilość bitcoina. 8

Kolejny z serii dużych transferów

Przelew z 28 sierpnia nastąpił po dwóch innych zgłoszonych ruchach środków z portfeli powiązanych z Lazarus:

• 30 lipca: 121,5 BTC o wartości około 7,74 mln dolarów trafiło do dwóch niezidentyfikowanych portfeli. 24
• W połowie sierpnia: 262,2 BTC o wartości około 16,64 mln dolarów przesłano na nowy adres, według Lookonchain. 7
• 28 sierpnia: 244,148 BTC o wartości około 19,42 mln dolarów przesłano z portfela oznaczonego przez Arkham. 810

Łącznie te trzy transfery obejmują 627,848 BTC i około 43,8 mln dolarów, przy zastosowaniu wycen podawanych dla poszczególnych transakcji. Skala uzasadnia dalsze monitorowanie, ale sama suma nie mówi, jaki był ostateczny cel przesunięcia środków.

Analitycy on-chain mogą uznać takie ruchy za zgodne z konsolidacją, dzieleniem funduszy lub przygotowaniem do potencjalnego prania pieniędzy. Są to jednak interpretacje śledcze, a nie wnioski dowiedzione wyłącznie przez transfery. Nadal nie wiadomo, kto kontroluje poszczególne portfele, czy należą one do jednego klastra oraz czy którykolwiek z adresów jest związany z giełdą, brokerem OTC, mikserem, mostem międzyłańcuchowym lub inną rozpoznawalną usługą.

Czy bitcoiny mają związek z włamaniem na Bybit?

Uwagę zwraca przede wszystkim moment transakcji. 7 sierpnia giełda Bybit poinformowała o pozwie w Stanach Zjednoczonych przeciwko Korei Północnej, jej Biuru Rozpoznania Generalnego oraz grupie Lazarus. Sprawa dotyczy kradzieży około 1,5 mld dolarów z lutego 2025 roku. FBI przypisało atak północnokoreańskim aktorom określanym jako TraderTraitor. 2127

Działania prawne Bybit obejmują próby prześledzenia i zabezpieczenia aktywów. Doniesienia o sprawie mówią o tymczasowym nakazie dotyczącym określonych aktywów znajdujących się w posiadaniu niezidentyfikowanych pozwanych, a także o sądowym postępowaniu dowodowym mającym pomóc w ustaleniu tożsamości pośredników i historii transakcji. 2124

Dostępne dowody nie potwierdzają jednak bezpośredniego, transakcyjnego związku między transferem bitcoinów z 28 sierpnia a środkami skradzionymi z Bybit. Kradzież z giełdy dotyczyła przede wszystkim ethereum, podczas gdy opisany transfer obejmował BTC. Konwersje aktywów i analiza przepływów między sieciami mogą ujawnić powiązania, ale trzeba je wykazać na poziomie konkretnych adresów i transakcji. Dopóki śledczy tego nie zrobią, określanie 244,148 BTC mianem środków z Bybit byłoby wyciąganiem zbyt daleko idących wniosków.

Dlaczego ten ruch i tak ma znaczenie?

Transfer jest istotny, ponieważ pokazuje dalszą aktywność portfeli przypisywanych grupie kojarzonej z wielokrotnymi kradzieżami kryptowalut i złożonymi operacjami przenoszenia środków. Chainalysis oszacował, że hakerzy powiązani z Koreą Północną ukradli w 2025 roku co najmniej 2,02 mld dolarów w kryptowalutach, podnosząc łączną wartość przypisywanych im kradzieży do co najmniej 6,75 mld dolarów. Znaczącą część wyniku za 2025 rok stanowił atak na Bybit. 45

To szersze tło wyjaśnia, dlaczego każdy duży transfer z adresu oznaczonego jako związany z Lazarus natychmiast przyciąga uwagę. Giełdy, depozytariusze, mosty międzyłańcuchowe i firmy zajmujące się analizą blockchainu będą obserwować kolejne kroki: wpłaty do rozpoznawalnych usług, szybkie rozdzielanie środków między nowe portfele, wymiany między łańcuchami oraz inne działania, które mogą ujawnić kontrolę nad aktywami.

Trzeba jednak pamiętać, że etykiety portfeli są narzędziami atrybucji, a nie ustaleniami sądowymi. Oznaczenie adresu może być bardzo przydatne przy śledzeniu klastra, ale nie dowodzi automatycznie, że każdy odbiorca jest kontrolowany przez Lazarus ani że wszystkie aktywa w danym klastrze pochodzą z tej samej kradzieży.

Co wiadomo, a czego nie potwierdzono?

Potwierdzone w dostępnych doniesieniach:

• Portfel oznaczony przez Arkham jako powiązany z Lazarus przesłał 28 sierpnia 244,148 BTC. 810
• Wartość transferu wynosiła około 19,42 mln dolarów. 810
• W portfelu źródłowym miało pozostać około 267,5 BTC. 8
• Publicznie dostępne materiały nie identyfikują portfela odbiorczego. 8
• 30 lipca i w połowie sierpnia zgłoszono podobne duże transfery. 27

Tego nie potwierdzają same raporty:

• że transfer był sprzedażą lub wypłatą środków,
• że oznaczał nowe włamanie,
• że stanowił element potwierdzonego schematu prania pieniędzy,
• że środki pochodziły z ataku na Bybit,
• że niezidentyfikowany odbiorca jest kontrolowany przez Lazarus.

Najbardziej precyzyjny wniosek jest więc ograniczony, ale istotny: aktywność portfeli powiązanych z Lazarus pozostaje wysoka lub ponownie się nasiliła, a własność i przeznaczenie adresów odbiorczych nadal nie zostały ustalone. Kolejna interakcja z rozpoznawalną usługą albo wiarygodna analiza kryminalistyczna będzie bardziej informacyjna niż sam transfer.