Lazarus chuyển 19,4 triệu USD Bitcoin, địa chỉ nhận vẫn là ẩn số

Ngày 28/8/2026, các ví được gán cho nhóm Lazarus có liên hệ với Triều Tiên đã chuyển 244,148 BTC, trị giá khoảng 19,42 triệu USD tại thời điểm được báo cáo. Nền tảng theo dõi blockchain Lookonchain phát hiện giao dịch, trong khi các bài viết cùng thời điểm dẫn thông tin Arkham Intelligence đã gắn nhãn những ví này với Lazarus Group. Địa chỉ nhận chưa được công khai xác định. 2411

Điểm cần thận trọng là giao dịch này chỉ cho thấy Bitcoin được chuyển giữa các địa chỉ. Nó chưa phải bằng chứng xác nhận về một vụ bán, hành vi rút tiền, đường đi rửa tiền hay bên thụ hưởng cuối cùng. 910

Chuyện gì xảy ra trong giao dịch ngày 28/8?

Lookonchain cho biết các ví liên quan đến Lazarus đã hoạt động trở lại và chuyển 244,148 BTC, tương đương khoảng 19,42 triệu USD. Các bài đưa tin liên quan dẫn Arkham Intelligence để giải thích việc gán những ví này cho Lazarus Group. 2411

Dữ liệu công khai chưa cho biết địa chỉ nhận là:

• một sàn giao dịch tiền số tập trung;
• một dịch vụ trộn tiền hoặc công cụ che giấu dòng tiền khác; hay
• một ví khác do Lazarus hoặc một thực thể có liên hệ với Triều Tiên kiểm soát.

Sự chưa chắc chắn này rất quan trọng. Blockchain ghi lại nơi tài sản được chuyển đến, nhưng để xác định chủ sở hữu địa chỉ nhận và mục đích giao dịch thường cần thêm dữ liệu phân cụm địa chỉ, hồ sơ sàn giao dịch hoặc bằng chứng điều tra.

Ba lần chuyển cộng lại khoảng 43,8 triệu USD

Giao dịch ngày 28/8 diễn ra sau hai lần chuyển lớn khác được gán cho các ví liên quan đến Lazarus:

Ngày	Lượng Bitcoin	Giá trị được báo cáo	Đích đến được công khai
30/7/2026	121,5 BTC	Khoảng 7,74 triệu USD	Hai địa chỉ chưa xác định 37
12/8/2026	262,2 BTC	Khoảng 16,64 triệu USD	Một địa chỉ mới tạo 814
28/8/2026	244,148 BTC	Khoảng 19,42 triệu USD	Chưa được xác định công khai 910

Dựa trên mức định giá được báo cáo tại thời điểm mỗi giao dịch, ba lần chuyển tương đương khoảng 43,8 triệu USD Bitcoin trong khoảng một tháng. Đây là các ước tính lịch sử; tổng giá trị có thể thay đổi theo giá Bitcoin và không nên được hiểu là giá trị hiện tại của số coin.

Ngày 12/8, các báo cáo cho biết tài sản on-chain được theo dõi có liên hệ với Lazarus vượt 73,06 triệu USD, chủ yếu gồm BTC, USDT và ETH. 8 Con số này bao phủ một nhóm ví được giám sát rộng hơn, không nhất thiết chỉ là chiếc ví nguồn được dùng trong giao dịch ngày 28/8.

Ví nguồn còn lại bao nhiêu tài sản?

Các nguồn công khai được cung cấp chưa thống nhất về số dư chính xác sau giao dịch của riêng chiếc ví nguồn ngày 28/8. Một báo cáo mô tả danh mục tài sản hợp nhất trị giá khoảng 40 triệu USD, trong đó có 267,526 BTC, được định giá khoảng 20,97 triệu USD theo mức giá Bitcoin được trích dẫn. 11

Những con số này cần được đọc thận trọng: số dư của một ví, danh mục ví đã hợp nhất và tổng tài sản của các cụm ví liên quan đến Lazarus là ba thước đo khác nhau. Các báo cáo cho phép kết luận rộng hơn rằng những ví được gán cho Lazarus vẫn nắm giữ lượng tài sản đáng kể sau các đợt chuyển gần đây, nhưng chưa đưa ra một số dư hậu giao dịch duy nhất và được xác minh độc lập cho ví nguồn.

Số Bitcoin này có liên quan đến vụ tấn công Bybit?

Chưa có bằng chứng công khai cho thấy giao dịch ngày 28/8 là tiền thu được từ một vụ tấn công cụ thể. Giao dịch thu hút chú ý một phần vì diễn ra trong lúc các nhà điều tra, sàn giao dịch và công ty phân tích blockchain tiếp tục truy vết tài sản liên quan đến vụ đánh cắp khoảng 1,5 tỷ USD tài sản số từ Bybit ngày 21/2/2025. 25

FBI quy trách nhiệm vụ đánh cắp cho Triều Tiên và gọi hoạt động mạng này là “TraderTraitor”. Cơ quan này cho biết số tài sản bị đánh cắp đã được chuyển đổi sang Bitcoin và các loại tiền số khác, rồi phân tán qua hàng nghìn ví trên nhiều blockchain. 2526

Sau đó, Bybit đệ đơn kiện dân sự tại Mỹ đối với Triều Tiên, Tổng cục Trinh sát và Lazarus Group liên quan đến vụ việc, đồng thời tìm cách phong tỏa những tài sản bị đánh cắp đã được xác định. 17

Bối cảnh này lý giải vì sao hoạt động mới trong các ví được gắn nhãn Lazarus lập tức bị theo dõi. Tuy nhiên, nó không chứng minh 244,148 BTC chuyển ngày 28/8 có nguồn gốc từ Bybit, cũng không chứng minh số tiền đang được bán ra thị trường.

Quy mô rộng hơn của hoạt động đánh cắp tiền số từ Triều Tiên

So với vụ Bybit, giao dịch ngày 28/8 có quy mô nhỏ hơn nhiều. Nhưng trong bức tranh rộng hơn về các vụ đánh cắp tiền số được quy cho những tác nhân liên quan đến Triều Tiên, con số này vẫn đáng chú ý. Một ước tính trong ngành cho rằng các tác nhân liên quan đến Triều Tiên đã đánh cắp 2,02 tỷ USD tiền số trong năm 2025 và chiếm 76% giá trị các vụ tấn công tiền số tính đến tháng 4/2026. Đây là ước tính của khu vực tư nhân, không phải một báo cáo thống kê chính thức toàn diện của chính phủ. 32

Các số liệu trên phản ánh hoạt động được ước tính của một hệ sinh thái rộng hơn liên quan đến Triều Tiên; không thể dùng chúng để suy ra giá trị số tài sản trong các ví Lazarus cụ thể của giao dịch ngày 28/8.

Lệnh trừng phạt của Mỹ cũng là một phần quan trọng trong bối cảnh này. Các báo cáo được cung cấp xác định Lazarus Group là một nhóm tin tặc có liên hệ với Cộng hòa Dân chủ Nhân dân Triều Tiên (DPRK) và chịu lệnh trừng phạt; OFAC đã đưa nhóm này vào danh sách SDN (Các cá nhân và tổ chức bị chỉ định đặc biệt) vào năm 2022. 32 Các nguồn hiện có không đủ để xác nhận mốc trừng phạt năm 2019, vì vậy mốc thời gian đó không được trình bày như một sự thật đã được kiểm chứng.

Những điều vẫn chưa rõ

Một số câu hỏi quan trọng vẫn chưa có lời giải:

1. Ai kiểm soát địa chỉ nhận? Các báo cáo công khai chưa xác định đây là sàn giao dịch, dịch vụ trộn tiền hay ví đã biết thuộc Lazarus. 910
2. Đây có phải một nỗ lực rút tiền hay không? Chưa thể kết luận. Việc chuyển Bitcoin giữa các ví không tự nó chứng minh giao dịch bán hoặc chuyển đổi sang tiền pháp định. 9
3. Giao dịch có liên quan đến Bybit không? Chưa có nguồn công khai nào cung cấp mối liên hệ được xác nhận ở cấp độ giao dịch giữa lần chuyển ngày 28/8 và vụ trộm Bybit.
4. Lazarus còn kiểm soát bao nhiêu tài sản? Các báo cáo sử dụng những phạm vi khác nhau—từ ví riêng lẻ, danh mục hợp nhất đến các cụm ví được giám sát—nên không thể cộng lại thành một số dư duy nhất. 811

Cách diễn giải có cơ sở nhất ở thời điểm hiện tại là: các ví Bitcoin được gán cho Lazarus đã tiếp tục di chuyển một lượng BTC lớn, sau những lần chuyển đáng kể vào tháng 7 và tháng 8. Giao dịch là tín hiệu hữu ích cho các nhà điều tra và bộ phận tuân thủ, nhưng dữ liệu on-chain đơn lẻ chưa tiết lộ đích đến cuối cùng hay mục đích của số tiền.