Ein mit Nordkoreas Lazarus-Gruppe verbundenes Wallet-Cluster transferierte 121,5 Bitcoin (BTC) im Wert von rund 7,74 Millionen Dollar etwa eine Stunde, bevor die Transaktion am Donnerstag vom Blockchain-Analyse-Dienst Lookonchain markiert wurde.

Während der Betrag in einem Markt, in dem das tägliche Handelsvolumen regelmäßig in die Zehnermilliarden geht, gering ist, liegt die Bedeutung in der Verbindung des Wallets zur Lazarus-Gruppe. Adressen, die mit der Organisation verknüpft sind, stehen unter intensiver Beobachtung, weil jede Transaktion gestohlene Kryptowährungen potenziell näher an eine Umwandlung in ausgabefähige Mittel bringt. Die weitergehende Dimension ist geopolitisch: Ein Expertenpanel der Vereinten Nationen hat berichtet, dass Kryptodiebstahl für Pjöngjang eine wichtige Einnahmequelle darstellt und die Programme des Landes für Massenvernichtungswaffen und ballistische Raketen unter Verstoß gegen UN-Sanktionen mitfinanziert.

Lazarus-Wallets werden wieder aktiv

Laut Lookonchain bewegten mit der Lazarus-Gruppe verbundene Wallets 121,5 BTC, was auf etwa 7,74 Millionen Dollar geschätzt wird. Das Unternehmen legte weder den Zielort der Mittel offen noch stellte es einen Bezug zu einem konkreten früheren Diebstahl her.

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd — Lookonchain (@lookonchain) July 30, 2026

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd

Nordkorea dominiert den Kryptodiebstahl im Jahr 2026

TRM Labs schätzte, dass nordkoreanische Hacker bis April 2026 Kryptowährungen im Wert von rund 577 Millionen Dollar gestohlen hatten. Nahezu der gesamte Betrag stammte aus zwei Vorfällen: einem 285-Millionen-Dollar-Hack des Drift Protocol am 1. April und einem 292-Millionen-Dollar-Angriff auf eine KelpDAO-Bridge am 18. April. Obwohl diese beiden Vorfälle nur 3% aller erfassten Hacks ausmachten, entfielen auf sie 76% des in diesem Zeitraum gestohlenen Gesamtwerts.

Der Trend hat sich in den vergangenen Jahren verstärkt. TRM-Analysten zufolge stieg Nordkoreas Anteil am weltweiten Volumen von Kryptodiebstählen von unter 10% in den Jahren 2020 und 2021 auf 22% im Jahr 2022, 37% im Jahr 2023, 39% im Jahr 2024 und 64% im Jahr 2025 — und erreichte in diesem Jahr einen neuen Rekord. Seit 2017 haben nordkoreanische Hacker mehr als 6 Milliarden Dollar in digitalen Vermögenswerten gestohlen und damit ihren Status als weltweit größte staatlich unterstützte Cyberbedrohung gefestigt.

Bitcoin, THORChain und die Flood-the-Zone-Strategie

Die jüngste Bewegung erinnert an das von TRM Labs nach dem Bybit-Hack im Februar 2025 dokumentierte Geldwäschemuster, bei dem nordkoreanische Akteure Ether im Wert von rund 1,5 Milliarden Dollar stahlen — der bislang größte Kryptodiebstahl. Die Untersuchung ergab, dass die Täter die Gelder rasch über THORChain leiteten, um sie in Bitcoin umzuwandeln, und anschließend einen Teil über Coin Mixer wie Wasabi Wallet und CryptoMixer verschickten.

Dieser Angriff machte die Grenzen der Blockchain-Transparenz deutlich. Das Center for Strategic and International Studies (CSIS) merkte in seiner Analyse des Bybit-Falls an, dass Ermittler zwar viele der beteiligten Wallets innerhalb weniger Tage identifizierten, die Geschwindigkeit der Transfers über dezentrale Börsen, Cross-Chain-Brücken und Jurisdiktionen jedoch dazu führte, dass ein erheblicher Teil der gestohlenen Kryptowährungen weiter zirkulierte, bevor die Strafverfolgungsbehörden eingreifen konnten.

TRMs Nick Carlsen, ein ehemaliger FBI-Analyst, beschreibt die Methode der Lazarus-Gruppe als „flood the zone“ — eine gezielte Strategie, Ermittler durch eine hohe Zahl von Transaktionen über mehrere Plattformen in kurzer Zeit zu überfordern. Häufig belässt die Gruppe umgewandelte Bitcoin für längere Zeit ohne weitere Aktivitäten, bevor sie die Mittel schließlich in Cash-out-Kanäle lenkt. Berichte des UN-Expertenpanels haben dokumentiert, dass diese Cash-out-Netzwerke häufig auf OTC-Broker in China und Südostasien zurückgreifen, die bei der Umwandlung von Kryptowährungen in Fiat-Währungen helfen.

Vor diesem Hintergrund ist der Transfer von 121,5 BTC bemerkenswert. Statt gestohlene Vermögenswerte in einer einzigen großen Transaktion zu liquidieren, bewegen nordkoreanische Akteure typischerweise kleinere Beträge über einen längeren Zeitraum. Sollte ein weiterer Verteilungszyklus im Gange sein, könnten Börsen, OTC-Schalter und Blockchain-Ermittler in den kommenden Monaten verstärkt unter Beobachtung geraten.

Sanktionierte Wallets erfordern marktweite Überprüfung

Die Lazarus-Gruppe unterliegt weiterhin US-Finanzsanktionen im Rahmen des DPRK3-Programms des Office of Foreign Assets Control, das mit der Organisation verbundene Kryptowährungsadressen benennt. Jede Einrichtung, die Transaktionen mit diesen Adressen abwickelt, riskiert Sanktionen, weshalb Mittel, die als von Lazarus stammend gekennzeichnet sind, als unmittelbares Compliance-Problem behandelt werden müssen.

Das FBI hat der Gruppe mehrere Kryptodiebstähle zugeschrieben, darunter den 100-Millionen-Dollar-Hack der Harmony Horizon Bridge im Jahr 2022 und den Bybit-Hack im Februar 2025, den das Bureau unter dem Codenamen „TraderTraitor“ mit Nordkorea in Verbindung brachte.

Der jüngste Transfer von 121,5 BTC ist weniger wegen seines Dollarwerts relevant als wegen seiner Signalwirkung. Von nordkoreanischen Hackern gestohlene Vermögenswerte können Monate oder sogar Jahre nach dem ursprünglichen Diebstahl erneut auftauchen, und selbst eine relativ kleine Transaktion aus einem bekannten Lazarus-Wallet kann den Beginn einer breiteren Geldwäscheoperation markieren — solange solche Adressen aktiv bleiben.