Lazarus flyttar bitcoin för 19,4 miljoner dollar – mottagaren är fortfarande okänd

Den 28 augusti 2026 flyttade plånböcker som kopplas till den nordkoreanska hackergruppen Lazarus Group 244,148 BTC, värda cirka 19,42 miljoner dollar vid rapporteringstillfället. Blockchainbevakaren Lookonchain uppmärksammade transaktionen, medan samtida rapportering hänvisade till Arkham Intelligence som källa till plånboksidentifieringen. Mottagaradressen har inte offentliggjorts. 2411

Den viktigaste slutsatsen är därför mer begränsad än vad vissa rubriker antyder: transaktionen visar att bitcoin flyttades mellan adresser. Den bevisar inte i sig en försäljning, ett uttag till traditionella pengar, en penningtvättskedja eller vem som ytterst gynnas av flytten. 910

Vad hände den 28 augusti?

Lookonchain skrev att Lazarus-kopplade plånböcker åter hade blivit aktiva och flyttat 244,148 BTC, motsvarande ungefär 19,42 miljoner dollar. I relaterad rapportering angavs Arkham Intelligence ha märkt plånböckerna som kopplade till Lazarus Group. 2411

Offentliga uppgifter visar inte om bitcoin skickades till:

• en centraliserad kryptobörs;
• en mixer eller annan tjänst som försvårar spårning; eller
• en annan plånbok som kontrolleras av Lazarus Group eller en nordkoreansk aktör.

Det är en viktig skillnad. Blockkedjan visar vart mynten flyttas, men att fastställa vem som kontrollerar mottagaradressen och varför transaktionen genomfördes kräver vanligtvis ytterligare adressanalys, uppgifter från kryptobörser eller annan utredningsbevisning.

Tre stora överföringar på en månad

Flytten den 28 augusti följde två andra större transaktioner från plånböcker som kopplats till Lazarus:

Datum	Flyttad mängd bitcoin	Rapporterat värde	Offentligt rapporterad destination
30 juli 2026	121,5 BTC	Cirka 7,74 miljoner dollar	Två oidentifierade adresser 37
12 augusti 2026	262,2 BTC	Cirka 16,64 miljoner dollar	En nyskapad adress 814
28 augusti 2026	244,148 BTC	Cirka 19,42 miljoner dollar	Inte offentligt identifierad 910

Med de värderingar som rapporterades när transaktionerna ägde rum motsvarar de tre flyttarna sammanlagt omkring 43,8 miljoner dollar i bitcoin under ungefär en månad. Dollartalen är historiska uppskattningar och förändras när bitcoinpriset rör sig. De ska därför inte tolkas som myntens aktuella värde.

Den 12 augusti uppgav rapporteringen att övervakade, Lazarus-kopplade tillgångar översteg 73,06 miljoner dollar, huvudsakligen i BTC, USDT och ETH. 8 Det avsåg en bredare grupp övervakade plånböcker och behöver inte vara samma plånbok som användes som avsändare den 28 augusti.

Hur mycket fanns kvar i avsändarplånboken?

Den exakta saldot efter överföringen i den specifika avsändarplånboken den 28 augusti är inte konsekvent fastställt i de offentliga rapporterna. En rapport beskrev en konsoliderad portfölj på omkring 40 miljoner dollar och angav 267,526 BTC, värda cirka 20,97 miljoner dollar vid det bitcoinpris som användes i rapporten. 11

Uppgifterna bör läsas med viss försiktighet. Saldot i en enskild plånbok, värdet i ett samlat plånbokskluster och uppskattningen av bredare Lazarus-kopplade tillgångar är olika mått. Rapporteringen stöder den övergripande slutsatsen att Lazarus-kopplade plånböcker hade betydande tillgångar kvar efter de senaste överföringarna, men den ger inte ett enda oberoende verifierat saldo efter flytten.

Är bitcoin kopplad till Bybit-kuppen?

Det har inte offentligt bevisats att överföringen den 28 augusti består av pengar från en specifik cyberattack. Transaktionen väcker ändå uppmärksamhet eftersom den sker samtidigt som utredare, kryptobörser och blockkedjeanalytiker försöker spåra tillgångar från stölden mot Bybit den 21 februari 2025, då digitala tillgångar värda omkring 1,5 miljarder dollar stals. 25

USA:s federala polis, FBI, pekade ut Nordkorea som ansvarigt och kallade operationen ”TraderTraitor”. Enligt myndigheten omvandlades de stulna tillgångarna till bitcoin och andra kryptovalutor och spreds därefter över tusentals plånböcker på flera blockkedjor. 2526

Bybit har senare väckt en civilrättslig talan i USA mot Nordkorea, landets underrättelseorgan Reconnaissance General Bureau och Lazarus Group. Börsen har samtidigt försökt få identifierade stulna tillgångar frysta. 17

Det förklarar varför ny aktivitet i plånböcker som märkts som Lazarus-kopplade granskas noggrant. Men det visar inte att de 244,148 BTC som flyttades den 28 augusti kom från Bybit, och inte heller att mynten höll på att säljas.

En del av en större nordkoreansk kryptoverksamhet

Överföringen den 28 augusti är liten jämfört med Bybit-stölden, men den ingår i ett större mönster av kryptostölder som tillskrivs nordkoreanska aktörer. En branschuppskattning satte värdet av nordkoreanskt kopplade kryptostölder till 2,02 miljarder dollar under 2025 och bedömde att aktörerna stod för 76 procent av värdet av alla kryptohackningar fram till april 2026. Det rör sig om uppskattningar från den privata sektorn, inte en fullständig officiell redovisning från en regering. 32

Siffrorna gäller dessutom ett bredare nordkoreanskt ekosystem och ska inte ses som värdet på de Lazarus-plånböcker som var inblandade i överföringen den 28 augusti.

USA:s sanktioner är en annan del av bakgrunden. Den tillgängliga rapporteringen beskriver Lazarus Group som en sanktionerad, Nordkorea-kopplad hackeroperation och anger att USA:s finansdepartements sanktionskontor OFAC placerade gruppen på sin lista över särskilt utpekade personer och organisationer, SDN-listan, år 2022. 32 De angivna källorna styrker inte självständigt det efterfrågade sanktionsåret 2019, så det året anges inte som ett fastställt faktum här.

Det som fortfarande är okänt

Flera centrala frågor saknar svar:

1. Vem kontrollerade mottagaradressen? Offentliga rapporter hade inte identifierat den som en börs, mixer eller känd Lazarus-kontrollerad plånbok. 910
2. Var överföringen ett försök att ta ut pengarna? Det går inte att säga. En överföring mellan två plånböcker visar inte i sig att bitcoin såldes eller växlades till fiatvaluta. 9
3. Var överföringen kopplad till Bybit? Ingen offentlig källa har presenterat en bekräftad koppling på transaktionsnivå mellan flytten den 28 augusti och Bybit-stölden.
4. Hur mycket kontrollerar Lazarus fortfarande? Rapporterna avser olika omfattningar – enskilda plånböcker, konsoliderade portföljer och övervakade kluster – och kan därför inte slås ihop till ett enda säkert saldo. 811

Den mest försvarbara tolkningen är för närvarande att bitcoinplånböcker som tillskrivs Lazarus flyttade ännu en betydande mängd BTC efter flera stora transaktioner i juli och augusti. Aktiviteten är en viktig signal för utredare och regelefterlevnadsteam, men själva blockkedjetransaktionen avslöjar inte pengarnas slutdestination eller syfte.