Die mit Nordkorea verbundene Lazarus-Gruppe hat 244,148 Bitcoin im Wert von etwa 19,42 Millionen US-Dollar transferiert, was erneut die Aufmerksamkeit auf Wallets lenkt, die mit einer der aktivsten Hacking-Operationen der Kryptoindustrie in Verbindung stehen.
Zusammenfassung
- Die Lazarus-Gruppe hat laut Lookonchain 244,148 BTC im Wert von etwa 19,42 Millionen US-Dollar transferiert.
- Das Ziel der Transaktion und ein Zusammenhang mit einem früheren Diebstahl wurden nicht offengelegt.
- Ein anderes mit Lazarus verbundenes Wallet hat Anfang August 262,2 BTC an eine neue Adresse verschoben.
- US-Sanktionen verbieten Amerikanern im Allgemeinen den Umgang mit Eigentum, das mit der Lazarus-Gruppe in Verbindung steht.
Lazarus-Gruppe bewegt 244 BTC zwischen Wallets
Lookonchain meldete den Transfer in einem Beitrag auf X vom 28. August und sagte, dass Wallets, die der Lazarus-Gruppe zugeschrieben werden, wieder aktiv geworden seien und etwa eine Stunde vor seiner Warnung 244,148 BTC bewegt hätten.
Bitcoin wurde bei etwa 79.500 US-Dollar gehandelt, als das Analyse-Konto seine Schätzung veröffentlichte, was den Wert der Transaktion auf 19,42 Millionen US-Dollar brachte. Lookonchain identifizierte die empfangende Adresse im Text des Beitrags nicht und sagte auch nicht, ob die Bitcoin an eine Börse, einen Mischer oder ein anderes von der Gruppe kontrolliertes Wallet gingen.
Ohne ein offengelegtes Ziel zeigt die Transaktion allein nicht, dass Lazarus die Bitcoin verkauft oder versucht hat, sie auszuzahlen. Öffentliche Blockchain-Aufzeichnungen bestätigen, wann Gelder zwischen Adressen bewegt werden, aber die Verbindung dieser Adressen zu einer Organisation hängt normalerweise von Kennzeichnungen und Analysen ab, die von Ermittlern oder Blockchain-Intelligence-Unternehmen bereitgestellt werden.
Die Transaktion vom 28. August folgte auf eine weitere große Bitcoin-Bewegung, die der Gruppe Anfang des Monats zugeschrieben wurde. Am 12. August sagte Lookonchain, dass Lazarus 262,2 BTC, damals im Wert von etwa 16,64 Millionen US-Dollar, von einem identifizierten Wallet an eine neu erstellte Adresse transferiert habe.
Damals beschrieb das Analyse-Konto die Transaktion als Wallet-zu-Wallet-Transfer und nicht als Verkauf. Gemessen an den gemeldeten Dollarwerten umfassten die beiden August-Bewegungen mehr als 36 Millionen US-Dollar in Bitcoin, obwohl keine Quelle bestätigt hat, dass die Transaktionen vom selben Guthaben stammten oder demselben Zweck dienten.
Frühere Wallet-Aktivitäten zeigen, warum das Ziel wichtig ist. Im März 2025 erhielten fünf unbekannte Adressen zusammen 44,07 BTC im Wert von etwa 3,76 Millionen US-Dollar von Wallets, die Lazarus zugeschrieben werden, wie aus früheren On-Chain-Berichten hervorgeht. Die Transaktionen reduzierten die Bestände des verfolgten Wallets damals auf 13.441 BTC.
Bybit-Diebstahl hinterließ Bitcoin auf Tausenden von Adressen
Wie crypto.news bereits berichtete, hat Bybit Nordkorea und die Lazarus-Gruppe am 7. August vor einem Bundesgericht in Washington, D.C. verklagt, um Vermögenswerte im Zusammenhang mit dem Diebstahl von 1,5 Milliarden US-Dollar von der Börse zurückzufordern.
Die Klage nannte auch das Aufklärungsbüro der nordkoreanischen Armee (Reconnaissance General Bureau, RGB), das das US-Finanzministerium als den wichtigsten Geheimdienst des Landes identifiziert. Ein Bundesrichter erließ eine einstweilige Verfügung, die nicht identifizierten Beklagten verbietet, bestimmte mit dem Fall verbundene Vermögenswerte zu übertragen, zu verkaufen oder zu veräußern.
Bybit reichte die Zivilklage getrennt von laufenden strafrechtlichen Ermittlungen der USA ein. Eine einstweilige Verfügung erhält das identifizierte Eigentum, während das Verfahren fortgesetzt wird, und stellt keine endgültige Entscheidung über Eigentum oder Haftung dar.
Das FBI führte den Bybit-Angriff im Februar 2025 auf nordkoreanische Akteure zurück, die unter dem Namen TraderTraitor operieren. Laut der Behörde konvertierten die Angreifer einen Teil der gestohlenen Bestände in Bitcoin und andere Vermögenswerte, bevor sie sie auf Tausende von Adressen in mehreren Blockchains verteilten.
In seiner öffentlichen Warnung sagte das FBI, es erwarte, dass die Vermögenswerte erneut bewegt und schließlich gegen staatlich ausgegebene Währung eingetauscht würden. Das Büro bat Börsen, Brücken, dezentrale Finanzdienste, Blockchain-Analysefirmen und Knotenbetreiber, Transaktionen mit den von ihm identifizierten Adressen zu blockieren.
Bis April 2025 sagte Bybit-CEO Ben Zhou, dass 27,6 % der gestohlenen Gelder nicht mehr verfolgt werden könnten, so ein August-Bericht über Nordkoreas Angriffsmethoden. Derselbe Bericht sagte, dass die Verteilung von Vermögenswerten auf viele Bitcoin-Wallets die Blockchain-Verfolgung erschwert habe.
Lookonchain hat die neueste Übertragung von 244,148 BTC nicht direkt mit dem Bybit-Diebstahl in Verbindung gebracht. Keine Regierungsbehörde oder Blockchain-Intelligence-Firma, die in der verfügbaren Berichterstattung zitiert wird, hat öffentlich die Quelle der Münzen identifiziert, die an der Bewegung vom 28. August beteiligt waren.
Mit Lazarus verbundene Angriffe dauerten bis 2026 an
Chainalysis schätzte, dass nordkoreanische Hacker im Jahr 2025 mindestens 2,02 Milliarden US-Dollar in Kryptowährung gestohlen haben, ein Anstieg von 51% gegenüber dem Vorjahr. Das Unternehmen bezifferte den kumulierten Krypto-Diebstahl des Landes bis zum Ende dieses Zeitraums auf nicht weniger als 6,75 Milliarden US-Dollar.
Laut seinem Bericht vom Dezember 2025 machten nordkoreanische Operationen 76% des Wertes aus, der im Laufe des Jahres durch Angriffe auf Krypto-Dienste verloren ging. Chainalysis sagte, die Angreifer hätten weniger bestätigte Vorfälle durchgeführt, aber größere Beträge aus erfolgreichen Einbrüchen erbeutet.
Das Unternehmen stellte auch fest, dass nordkoreanische Betreiber zunehmend Unternehmen durch Identitätstäuschung und Mitarbeiterzugriff ins Visier genommen hatten. Einige Akteure gaben sich als Bewerber aus, um in Krypto-Unternehmen einzudringen, während andere vorgaben, für bekannte Web3- und KI-Unternehmen zu rekrutieren, so Chainalysis.
Aktivitäten, die Lazarus zugeschrieben werden, dauerten im April 2026 an, als Angreifer ungefähr 116.500 rsETH, im Wert von etwa 292 Millionen US-Dollar, aus der LayerZero-basierten Brücke von KelpDAO abzogen. LayerZero führte den Angriff mit vorläufiger Sicherheit auf die TraderTraitor-Einheit der Lazarus-Gruppe zurück.
Chainalysis sagte später, die Angreifer hätten die Infrastruktur kompromittiert, die Blockchain-Informationen für das Verifikationssystem von LayerZero lieferte. Indem sie dem System falsche Daten zuführten, veranlassten sie einen Ethereum-Vertrag, Vermögenswerte freizugeben, obwohl auf dem Quellnetzwerk kein entsprechender Token-Burn stattgefunden hatte.
Ein schnelles Eingreifen verhinderte einen zweiten versuchten Diebstahl im Wert von etwa 95 Millionen US-Dollar, so Chainalysis. Der Arbitrum Security Council fror außerdem mehr als 30.000 ETH ein, die Ermittler mit den nachgelagerten Transaktionen des Angreifers in Verbindung brachten.
Bis Juni hatte der KelpDAO-Angreifer ungefähr 220 Millionen US-Dollar an nicht eingefrorenen Vermögenswerten über Datenschutzdienste verschoben, so spätere Tracking-Daten. Die Routen umfassten THORChain, Wasabi, Tornado Cash und Umbra, während etwa 1,7 Millionen US-Dollar in den ursprünglichen Wallets verblieben.
US-Sanktionen beschränken Geschäfte mit der Lazarus-Gruppe
Das Office of Foreign Assets Control des US-Finanzministeriums sanktionierte die Lazarus-Gruppe im September 2019 im Rahmen einer Exekutivverordnung, die auf die nordkoreanische Regierung abzielte. OFAC identifizierte Lazarus, Bluenoroff und Andariel als staatlich kontrollierte Hacking-Gruppen, die mit der RGB verbunden sind.
Im Rahmen der Kennzeichnung muss Eigentum, das Lazarus gehört und in die USA gelangt oder in den Besitz oder die Kontrolle einer US-Person gelangt, blockiert und OFAC gemeldet werden. Die Finanzvorschriften verbieten Amerikanern im Allgemeinen auch Transaktionen mit sanktionierten Unternehmen, es sei denn, die Behörde genehmigt sie.
Das Finanzministerium sagte, Lazarus habe Regierungen, Finanzinstitute, Medienunternehmen, Hersteller, Infrastrukturbetreiber und Krypto-Unternehmen durch Cyber-Diebstahl, Spionage und Malware-Angriffe ins Visier genommen. Die Abteilung brachte die Gruppe mit dem Sony-Pictures-Bruch von 2014 und dem WannaCry-Ransomware-Angriff in Verbindung, der Computer in mindestens 150 Ländern betraf.
US-Behörden haben auch gegen Dienste vorgegangen, die zur Verarbeitung von Geldern verwendet werden, die mit der Gruppe verbunden sind. Im Jahr 2022 sanktionierte das Finanzministerium den Krypto-Mixer Blender.io, nachdem es erklärt hatte, dass dieser mehr als 20,5 Millionen US-Dollar aus dem etwa 620 Millionen US-Dollar schweren Ronin-Network-Diebstahl verarbeitet hatte. Das FBI führte den Ronin-Angriff später auf die Lazarus-Gruppe und APT38 zurück.
Im August 2023 warnte das FBI separat Krypto-Unternehmen vor Bewegungen von Bitcoin, die von nordkoreanischen TraderTraitor-Akteuren gestohlen wurden. Die Behörde sagte, die Gruppe könnte versuchen, mehr als 40 Millionen US-Dollar in Bitcoin auszuzahlen, und veröffentlichte sechs Wallet-Adressen zur Prüfung durch private Unternehmen.
