Ang Lazarus Group na may kaugnayan sa North Korea ay naglipat ng 244.148 Bitcoin na nagkakahalaga ng humigit-kumulang $19.42 milyon, na nagbibigay-pansin muli sa mga wallet na konektado sa isa sa pinakaaktibong operasyon ng pag-hack sa industriya ng crypto.

Lazarus Group, naglipat ng 244 BTC sa pagitan ng mga wallet

Iniulat ng Lookonchain ang paglipat sa isang X post noong Agosto 28, na nagsasabing ang mga wallet na iniuugnay sa Lazarus Group ay muling naging aktibo at naglipat ng 244.148 BTC humigit-kumulang isang oras bago ang kanilang alerto.

Nagkalakal ang Bitcoin sa humigit-kumulang $79,500 nang ilathala ng analytics account ang pagtatantya nito, na naglalagay sa halaga ng transaksyon sa $19.42 milyon. Hindi tinukoy ng Lookonchain ang tumatanggap na address sa teksto ng post o kung ang Bitcoin ay inilipat sa isang exchange, mixer, o isa pang wallet na kinokontrol ng grupo.

Kung walang isiniwalat na destinasyon, ang transaksyon lamang ay hindi nagpapakita na ibinenta ng Lazarus o sinubukan nitong mag-cash out ng Bitcoin. Kinukumpirma ng pampublikong rekord ng blockchain kung kailan lumipat ang pondo sa pagitan ng mga address, ngunit ang pag-uugnay ng mga address na iyon sa isang organisasyon ay karaniwang nakasalalay sa mga label at pagsusuri na ibinibigay ng mga imbestigador o mga kumpanya ng blockchain intelligence.

Ang transaksyon noong Agosto 28 ay sumunod sa isa pang malaking paggalaw ng Bitcoin na iniuugnay sa grupo mas maaga sa buwan. Noong Agosto 12, sinabi ng Lookonchain na inilipat ng Lazarus ang 262.2 BTC, na noon ay nagkakahalaga ng humigit-kumulang $16.64 milyon, mula sa isang natukoy na wallet patungo sa isang bagong likhang address.

Noon, inilarawan ng analytics account ang transaksyon bilang isang paglilipat mula wallet patungo sa wallet sa halip na isang pagbebenta. Batay sa kanilang iniulat na halaga sa dolyar, ang dalawang paggalaw noong Agosto ay nagsasangkot ng higit sa $36 milyon sa Bitcoin, bagama't walang pinagmulan ang nakumpirma na ang mga transaksyon ay nagmula sa iisang balanse o nagsilbi sa iisang layunin.

Ang nakaraang aktibidad ng wallet ay nagpapakita kung bakit mahalaga ang destinasyon. Noong Marso 2025, limang hindi kilalang address ang nakatanggap ng pinagsamang 44.07 BTC na nagkakahalaga ng humigit-kumulang $3.76 milyon mula sa mga wallet na iniuugnay sa Lazarus, ayon sa naunang on-chain reporting. Ang mga transaksyon ay nagpababa sa hawak ng sinusubaybayang wallet sa 13,441 BTC noong panahong iyon.

Pagnanakaw sa Bybit, nag-iwan ng Bitcoin sa libu-libong address

Tulad ng naunang iniulat ng crypto.news, kinasuhan ng Bybit ang North Korea at ang Lazarus Group sa isang pederal na korte sa Washington, D.C. noong Agosto 7, na naghahangad na mabawi ang mga asset na konektado sa pagnanakaw ng $1.5 bilyon ng exchange.

Pinangalanan din sa demanda ang Reconnaissance General Bureau, o RGB, ng North Korea, na kinikilala ng U.S. Treasury bilang pangunahing ahensya ng intelligence ng bansa. Naglabas ang isang pederal na hukom ng isang preliminary injunction na humaharang sa mga hindi nakilalang nasasakdal mula sa paglilipat, pagbebenta, o pagtatapon ng ilang asset na konektado sa kaso.

Ang Bybit ay nagsampa ng civil action nang hiwalay mula sa nagpapatuloy na imbestigasyon ng krimen ng U.S. Pinoprotektahan ng isang preliminary injunction ang natukoy na ari-arian habang nagpapatuloy ang litigasyon at hindi ito katumbas ng isang huling desisyon sa pagmamay-ari o pananagutan.

Ibinintang ng FBI ang pag-atake sa Bybit noong Pebrero 2025 sa mga aktor ng North Korea na nagpapatakbo sa ilalim ng pangalang TraderTraitor. Ayon sa ahensya, kinonvert ng mga umaatake ang bahagi ng mga ninakaw na hawak sa Bitcoin at iba pang asset bago ikalat ang mga ito sa libu-libong address sa iba't ibang blockchain.

Sa pampublikong alerto nito, sinabi ng FBI na inaasahan nitong ililipat muli ang mga asset at kalaunan ay ipagpapalit sa currency na inisyu ng gobyerno. Hiniling ng kawanihan sa mga exchange, tulay, serbisyo ng desentralisadong pananalapi, mga kumpanya ng blockchain analytics, at mga node operator na harangan ang mga transaksyon na kinasasangkutan ng mga address na natukoy nito.

Pagsapit ng Abril 2025, sinabi ni Bybit CEO Ben Zhou na 27.6% ng mga ninakaw na pondo ay hindi na masusubaybayan, ayon sa isang ulat noong Agosto tungkol sa mga paraan ng pag-atake ng North Korea. Sinabi ng parehong ulat na ang pamamahagi ng mga asset sa maraming Bitcoin wallet ay nagpahirap sa pagsubaybay sa blockchain.

Hindi direktang ikinonekta ng Lookonchain ang pinakabagong paglilipat ng 244.148 BTC sa pagnanakaw ng Bybit. Walang ahensya ng gobyerno o kumpanya ng blockchain intelligence na binanggit sa magagamit na pag-uulat ang pampublikong nagtukoy sa pinagmulan ng mga coin na kasama sa paggalaw noong Agosto 28.

Mga pag-atake na konektado sa Lazarus, nagpatuloy hanggang 2026

Tinatayang ninakaw ng mga hacker ng North Korea ang hindi bababa sa $2.02 bilyon sa cryptocurrency noong 2025, isang pagtaas ng 51% mula sa nakaraang taon, ayon sa Chainalysis. Inilagay ng kompanya ang pinagsama-samang pagnanakaw ng crypto ng bansa sa hindi bababa sa $6.75 bilyon sa pagtatapos ng panahong iyon.

Ayon sa ulat nito noong Disyembre 2025, ang mga operasyon ng North Korea ay bumubuo ng 76% ng halagang nawala sa pamamagitan ng mga pag-atake sa mga serbisyo ng crypto sa loob ng taon. Sinabi ng Chainalysis na mas kaunti ang isinagawang kumpirmadong insidente ng mga umaatake ngunit mas malaking halaga ang nakuha mula sa matagumpay na paglabag sa seguridad.

Natuklasan din ng kompanya na ang mga operator ng North Korea ay lalong pinupuntirya ang mga kumpanya sa pamamagitan ng impersonation at pag-access ng empleyado. Ang ilang aktor ay nagpanggap bilang mga aplikante ng trabaho upang makapasok sa mga negosyo ng crypto, habang ang iba ay nagpanggap na nagre-recruit para sa kilalang Web3 at artificial intelligence na mga kumpanya, ayon sa Chainalysis.

Nagpatuloy ang aktibidad na iniuugnay sa Lazarus noong Abril 2026 nang inubos ng mga umaatake ang humigit-kumulang 116,500 rsETH, na nagkakahalaga ng humigit-kumulang $292 milyon, mula sa LayerZero-based bridge ng KelpDAO. Ibinintang ng LayerZero ang pag-atake na may paunang kumpiyansa sa TraderTraitor unit ng Lazarus Group.

Sinabi kalaunan ng Chainalysis na kinompromiso ng mga umaatake ang imprastraktura na nagbibigay ng impormasyon ng blockchain sa sistema ng pag-verify ng LayerZero. Sa pamamagitan ng pagpasok ng maling data sa sistema, naging sanhi sila upang maglabas ng mga asset ang isang Ethereum contract kahit na walang katugmang token burn na nangyari sa source network.

Mabilis na naharang ng interbensyon ang ikalawang pagtatangka ng pagnanakaw na nagkakahalaga ng humigit-kumulang $95 milyon, ayon sa Chainalysis. Ipinahinto din ng Arbitrum Security Council ang higit sa 30,000 ETH na kinonekta ng mga imbestigador sa mga downstream transaction ng umaatake.

Pagsapit ng Hunyo, inilipat na ng umaatake sa KelpDAO ang humigit-kumulang $220 milyon sa mga unfrozen asset sa pamamagitan ng mga serbisyo ng privacy, ayon sa kasunod na data ng pagsubaybay. Kasama sa mga ruta ang THORChain, Wasabi, Tornado Cash, at Umbra, habang humigit-kumulang $1.7 milyon ang nanatili sa orihinal na mga wallet.

Ipinagbabawal ng mga sanction ng U.S. ang pakikipagtransaksyon sa Lazarus Group

Ipinataw ng Office of Foreign Assets Control (OFAC) ng U.S. Treasury ang sanction sa Lazarus Group noong Setyembre 2019 sa ilalim ng isang executive order na nagta-target sa gobyerno ng North Korea. Kinilala ng OFAC ang Lazarus, Bluenoroff, at Andariel bilang mga hacking group na kontrolado ng estado at konektado sa RGB.

Sa ilalim ng pagtatalaga, ang ari-ariang pag-aari ng Lazarus na pumasok sa Estados Unidos o napasailalim sa pagmamay-ari o kontrol ng isang U.S. person ay dapat harangin at iulat sa OFAC. Pangkalahatang ipinagbabawal din ng mga regulasyon ng Treasury sa mga Amerikano ang pagsasagawa ng mga transaksyon sa mga entidad na may sanction maliban kung pinahintulutan ito ng ahensya.

Sinabi ng Treasury na pinuntirya ng Lazarus ang mga gobyerno, institusyong pinansyal, kumpanya ng media, mga tagagawa, mga operator ng imprastraktura at mga negosyo ng cryptocurrency sa pamamagitan ng cyber theft, espionage at pag-atake ng malware. Ikinonekta ng departamento ang grupo sa paglabag sa Sony Pictures noong 2014 at sa pag-atake ng WannaCry ransomware na nakaapekto sa mga computer sa hindi bababa sa 150 bansa.

Kumilos din ang mga awtoridad ng U.S. laban sa mga serbisyong ginamit upang iproseso ang mga pondo na konektado sa grupo. Noong 2022, sinankyon ng Treasury ang virtual currency mixer na Blender.io matapos sabihin na humawak ito ng higit sa $20.5 milyon mula sa humigit-kumulang $620 milyong pagnanakaw sa Ronin Network. Kalaunan ay ibinintang ng FBI ang pag-atake sa Ronin sa Lazarus Group at APT38.

Noong Agosto 2023, hiwalay na binalaan ng FBI ang mga kumpanya ng crypto tungkol sa mga paggalaw na kinasasangkutan ng Bitcoin na ninakaw ng mga aktor ng TraderTraitor ng North Korea. Sinabi ng ahensya na maaaring tangkain ng grupo na mag-cash out ng higit sa $40 milyon sa Bitcoin at naglathala ng anim na wallet address para suriin ng mga pribadong kumpanya.