Північнокорейська група Lazarus переказала 244,148 біткойнів на суму близько $19,42 млн, привернувши нову увагу до гаманців, пов’язаних з однією з найактивніших хакерських операцій у криптоіндустрії.
Lookonchain повідомила про переказ у дописі на X від 28 серпня, зазначивши, що гаманці, приписувані групі Lazarus, знову стали активними та перемістили 244,148 BTC приблизно за годину до її сповіщення.
Біткойн торгувався приблизно по $79 500, коли аналітичний акаунт опублікував свою оцінку, визначивши вартість транзакції в $19,42 млн. Lookonchain не ідентифікувала адресу одержувача в тексті допису та не повідомила, чи перемістився біткойн на біржу, міксер або інший гаманець, контрольований групою.
Без розкритого пункту призначення сама транзакція не свідчить про те, що Lazarus продала або намагалася вивести біткойн. Публічні записи блокчейну підтверджують переміщення коштів між адресами, але зв’язок цих адрес з організацією зазвичай залежить від міток та аналізу, наданих дослідниками або блокчейн-розвідувальними фірмами.
Транзакція 28 серпня сталася після ще одного великого переміщення біткойнів, приписуваного групі, на початку місяця. 12 серпня Lookonchain повідомила, що Lazarus переказала 262,2 BTC, тоді оцінених приблизно в $16,64 млн, з ідентифікованого гаманця на новостворену адресу.
На той час аналітичний акаунт описав транзакцію як переказ між гаманцями, а не як продаж. За їхніми заявленими доларовими значеннями, два серпневі переміщення включали понад $36 млн у біткойнах, хоча жодне джерело не підтвердило, що транзакції походили з одного балансу або служили одній меті.
Минула активність гаманців показує, чому пункт призначення має значення. У березні 2025 року п’ять невідомих адрес отримали загалом 44,07 BTC на суму близько $3,76 млн з гаманців, приписуваних Lazarus, згідно з попередніми ончейн-звітами. На той час транзакції зменшили активи відстежуваного гаманця до 13 441 BTC.
Як раніше повідомляв crypto.news, Bybit подав до суду на Північну Корею та групу Lazarus у федеральному суді Вашингтона, округ Колумбія, 7 серпня, прагнучи відшкодувати активи, пов’язані з крадіжкою $1,5 млрд з біржі.
У позові також згадувалося Головне розвідувальне управління КНДР, або RGB, яке Міністерство фінансів США ідентифікує як головне розвідувальне агентство країни. Федеральний суддя видав попередню судову заборону, яка заборонила неідентифікованим відповідачам передавати, продавати або розпоряджатися певними активами, пов’язаними зі справою.
Bybit подав цивільний позов окремо від поточних кримінальних розслідувань США. Попередня судова заборона зберігає ідентифіковане майно під час судового процесу і не є остаточним рішенням щодо права власності або відповідальності.
ФБР приписало атаку на Bybit у лютому 2025 року північнокорейським акторам, що діють під назвою TraderTraitor. За даними агентства, зловмисники перетворили частину викрадених коштів у біткойн та інші активи, перш ніж розподілити їх по тисячах адрес на кількох блокчейнах.
У своєму публічному сповіщенні ФБР заявило, що очікує подальшого переміщення активів та їхнього обміну на державну валюту. Бюро звернулося до бірж, мостів, децентралізованих фінансових сервісів, компаній з аналізу блокчейну та операторів вузлів з проханням блокувати транзакції, що стосуються ідентифікованих ним адрес.
До квітня 2025 року генеральний директор Bybit Бен Чжоу заявив, що 27,6% викрадених коштів більше не можна відстежити, згідно зі серпневим звітом про методи атаки Північної Кореї. У тому ж звіті зазначалося, що розподіл активів по багатьох біткойн-гаманцях ускладнив відстеження блокчейну.
Lookonchain не пов’язував останній переказ 244,148 BTC безпосередньо з крадіжкою Bybit. Жодне урядове агентство або компанія з блокчейн-розвідки, згадана в доступних звітах, публічно не ідентифікувала джерело монет, задіяних у переміщенні 28 серпня.
Chainalysis підрахувала, що північнокорейські хакери викрали щонайменше $2,02 млрд у криптовалюті протягом 2025 року, що на 51% більше, ніж за попередній рік. Фірма оцінила сукупні криптокрадіжки країни щонайменше в $6,75 млрд до кінця цього періоду.
Згідно з її звітом за грудень 2025 року, на північнокорейські операції припадало 76% вартості, втраченої внаслідок атак на криптосервіси протягом року. Chainalysis заявила, що зловмисники здійснили менше підтверджених інцидентів, але вилучили більші суми з успішних зламів.
Фірма також виявила, що північнокорейські оператори все частіше націлювалися на компанії через видавання себе за інших та доступ до співробітників. Деякі актори видавали себе за кандидатів на роботу, щоб проникнути в криптобізнеси, тоді як інші вдавали, що набирають персонал для відомих Web3 та компаній зі штучного інтелекту, за даними Chainalysis.
Діяльність, приписувана Lazarus, продовжилася у квітні 2026 року, коли зловмисники викачали приблизно 116 500 rsETH, вартістю близько $292 млн, з моста KelpDAO на базі LayerZero. LayerZero з попередньою впевненістю приписала атаку підрозділу TraderTraitor групи Lazarus.
Chainalysis пізніше заявила, що зловмисники скомпрометували інфраструктуру, яка постачала блокчейн-інформацію до системи верифікації LayerZero. Подаючи неправдиві дані до системи, вони змусили контракт Ethereum випустити активи, хоча на вихідній мережі не відбулося відповідного спалювання токенів.
Швидке втручання заблокувало другу спробу крадіжки на суму близько $95 млн, за даними Chainalysis. Рада безпеки Arbitrum також заморозила понад 30 000 ETH, які слідчі пов’язали з подальшими транзакціями зловмисника.
До червня зловмисник KelpDAO перемістив приблизно $220 млн незаморожених активів через сервіси конфіденційності, згідно з подальшими даними відстеження. Маршрути включали THORChain, Wasabi, Tornado Cash та Umbra, тоді як близько $1,7 млн залишалися на оригінальних гаманцях.
Управління з контролю за іноземними активами (OFAC) Міністерства фінансів США наклало санкції на групу Lazarus у вересні 2019 року відповідно до указу, спрямованого проти уряду Північної Кореї. OFAC ідентифікувало Lazarus, Bluenoroff та Andariel як державні хакерські групи, пов’язані з RGB.
Згідно з цим позначенням, майно, що належить Lazarus, яке потрапляє до Сполучених Штатів або під контроль чи володіння особи США, повинно бути заблоковане та повідомлене OFAC. Правила Казначейства також загалом забороняють американцям здійснювати транзакції з підсанкційними суб’єктами, якщо агентство не дозволяє їх.
Казначейство заявило, що Lazarus націлювалася на уряди, фінансові установи, медіа-компанії, виробників, операторів інфраструктури та криптовалютні бізнеси через кіберкрадіжки, шпигунство та атаки шкідливого програмного забезпечення. Департамент пов’язав групу зі зламом Sony Pictures у 2014 році та атакою програм-вимагачів WannaCry, яка торкнулася комп’ютерів щонайменше в 150 країнах.
Влада США також вживала заходів проти сервісів, що використовувалися для обробки коштів, пов’язаних з групою. У 2022 році Казначейство наклало санкції на міксер віртуальних валют Blender.io, заявивши, що він обробив понад $20,5 млн з приблизно $620 млн, викрадених з мережі Ronin. ФБР пізніше приписало атаку на Ronin групі Lazarus та APT38.
У серпні 2023 року ФБР окремо попередило криптокомпанії про переміщення біткойнів, викрадених північнокорейськими акторами TraderTraitor. Агентство заявило, що група може спробувати вивести понад $40 млн у біткойнах, і опублікувало шість адрес гаманців для перевірки приватними компаніями.
BTC