Lazarus bewegte gerade 7,7 Mio. US-Dollar in Bitcoin, nachdem Hacker 2026 577 Mio. US-Dollar gestohlen hatten

Ein mit Nordkoreas Lazarus-Gruppe verbundenes Wallet-Cluster transferierte 121.5 Bitcoins, im Wert von rund 7,74 Millionen US-Dollar, etwa eine Stunde bevor der Blockchain-Tracker Lookonchain die Transaktion am Donnerstag identifizierte. Der Betrag ist erheblich, da Transaktionen von mit der Lazarus-Gruppe verbundenen Wallets in der Regel nicht unbemerkt bleiben.

Die Bedeutung liegt eher in den Implikationen, die eine solche Bewegung haben könnte, als in ihrem tatsächlichen Wert. Bis April 2026 machten mit Nordkorea verbundene Hacker 76 % aller kryptowährungsbezogenen Diebstähle aus. Selbst kleine Transaktionen könnten ein Hinweis darauf sein, dass gestohlene Mittel erneut gewaschen werden.

Lazarus-Wallets rühren sich wieder

Laut Lookonchain bewegten mit der Lazarus-Gruppe verbundene Wallets 121,5 BTC, geschätzt auf etwa 7,74 Millionen US-Dollar. Das Unternehmen gab jedoch nicht an, wo sich die Mittel befinden, und stellte keine Verbindung zu einem spezifischen früheren Diebstahl her.

Allein betrachtet hat die Transaktion in einem Markt mit täglichem Handelsvolumen von mehreren Milliarden US-Dollar wenig Aussagekraft. Was sie jedoch signifikant macht, ist die fragliche Wallet. Lazarus-Adressen unterliegen erheblicher scrutiny, da jede Transaktion das Potenzial hat, gestohlene Kryptowährungen näher an die Umwandlung in nutzbares Geld zu bringen.

Die Lazarus-Gruppe hat vor einer Stunde 121,5 $BTC (7,74 Mio. US-Dollar) bewegt.https://t.co/kpMHWnl7iQ pic.twitter.com/5qrmlvxMGd

— Lookonchain (@lookonchain) Juli 30, 2026

TRM Labs schätzt, dass nordkoreanische Hacker bis April 2026 Kryptowährungen im Wert von etwa 577 Millionen US-Dollar gestohlen haben. Fast der gesamte Betrag stammt aus zwei Angriffen: einem 285-Millionen-Dollar-Exploit des Drift Protocol am 1. April und einem 292-Millionen-Dollar-Angriff auf eine KelpDAO-Brücke am 18. April. Obwohl diese Vorfälle nur 3 % der registrierten Hacks ausmachten, entfielen sie auf 76 % des im Jahr gestohlenen Werts.

Der Trend hat im Laufe der Jahre an Stärke gewonnen. Die Experten von TRM sind der Ansicht, dass Nordkoreas Beitrag zum globalen Volumen der Kryptowährungsdiebstähle von unter 10 % in den Jahren 2020 und 2021 auf 22 % im Jahr 2022, 37 % im Jahr 2023, 39 % im Jahr 2024, 64 % im Jahr 2025 und damit zu einem neuen Rekord im laufenden Jahr angestiegen ist. Seit 2017 haben nordkoreanische Hacker digitale Währungen im Wert von über 6 Milliarden US-Dollar gestohlen und sich damit den Status der größten staatlich geförderten Cyberbedrohung der Welt gesichert.

Bitcoin, THORChain und das „Flood-the-Zone“-Spielbuch

Die jüngsten Aktivitäten ähneln dem Geldwäschemuster, das TRM nach dem Bybit-Hack im Februar 2025 berichtete, als die Nordkoreaner Ether im Wert von rund 1,5 Milliarden US-Dollar stahlen, den größten Kryptowährungsdiebstahl bis dahin. Die Untersuchung ergab, dass die Kriminellen die Mittel umgehend über THORChain schickten, um sie in Bitcoin umzuwandeln, und anschließend einen Teil der gestohlenen Mittel über Coin-Mixer wie Wasabi Wallet und CryptoMixer bewegten.

Der Angriff hat die Mängel der Blockchain-Transparenz aufgezeigt. Das Center for Strategic and International Studies (CSIS) bemerkte in seiner Studie zum Bybit-Fall, dass zwar viele der Wallets innerhalb von Tagen erkannt wurden, die Geschwindigkeit der Überweisungen über dezentrale Börsen, Brücken und Länder hinweg jedoch dazu führte, dass ein Großteil der illegal erlangten Kryptowährung weiter im Umlauf blieb, bevor die Strafverfolgungsbehörden einschritten.

Das Vertrauen der Anleger würde wahrscheinlich stärker gestärkt werden, indem strenge Cybersicherheitsstandards etabliert und einheitliche Vorschriften umgesetzt werden, anstatt sich primär auf die Durchsetzung nach einem Diebstahl zu verlassen.

Nicks Carlsen von TRM, ein ehemaliger FBI-Analyst, bezeichnet die Strategie der Lazarus-Gruppe als „Flood the Zone“ (die Zone fluten), die darauf abzielt, Ermittler zu verwirren, indem innerhalb eines kurzen Zeitraums zahlreiche Transaktionen über verschiedene Plattformen ausgelöst werden. Häufig unternimmt die Gruppe mit dem umgewandelten Bitcoin zunächst nichts und bewegt die Mittel später in Auszahlungskanäle.

Infolgedessen ist die Überweisung von lediglich 121,5 BTC bemerkenswert. Statt gestohlene Vermögenswerte in einer einzigen großen Transaktion zu liquidieren, bevorzugen nordkoreanische kriminelle Organisationen es normalerweise, kleinere Beträge über einen längeren Zeitraum zu bewegen. Sollte sich jedoch herausstellen, dass erneut ein Verteilungszyklus im Spiel ist, könnten Börsen, OTC-Händler und Blockchain-Ermittler in den kommenden Monaten mit mehr scrutiny rechnen.

Sanktionierte Wallets, die der gesamte Markt screenen muss

Die Lazarus-Gruppe unterliegt weiterhin den Sanktionen des US-Finanzministeriums im Rahmen des DPRK3-Programms des Büros für ausländische Vermögenswerte (OFAC), das Kryptowährungsadressen umfasst, die mit der Organisation verbunden sind. Die Verwaltung der Gelder dieser Adressen setzt Unternehmen Sanktionsrisiken aus, was bedeutet, dass Gelder, die als von der Lazarus-Gruppe stammend gekennzeichnet sind, als sofortiges Compliance-Thema behandelt werden müssen.

Das FBI hat der Gruppe bereits mehrmals den Diebstahl von Kryptowährungen zugeschrieben. Zu den Diebstählen, die sie der Gruppe zuschreibt, gehören der 100-Millionen-Dollar-Hack der Harmony Horizon Bridge im Jahr 2022 sowie der Bybit-Hack, der im Februar 2025 mit dem Codenamen „TraderTraitor“ mit Nordkorea in Verbindung gebracht wurde.

Die jüngste Überweisung von 121,5 BTC ist weniger wegen ihres Volumens wichtig als wegen der Bedeutung, die sie trägt. Ein Beispiel dafür ist, dass die von nordkoreanischen Hackern gestohlenen Vermögenswerte Monate oder Jahre nach dem Diebstahl weiterhin wieder auftauchen können. Selbst eine unbedeutende Transaktion kann den Beginn einer großen Geldwäscherei anzeigen, solange solche Wallets noch aktiv sind.