Un cluster di wallet collegato al Gruppo Lazarus della Corea del Nord ha trasferito 121,5 Bitcoin (BTC), per un valore di circa 7,74 milioni di dollari, circa un'ora prima che la transazione venisse segnalata dal tracker di analisi blockchain Lookonchain giovedì.

Sebbene l'importo sia modesto in un mercato in cui i volumi di negoziazione giornalieri raggiungono regolarmente decine di miliardi di dollari, il significato risiede nell'associazione del wallet con il Gruppo Lazarus. Gli indirizzi legati all'organizzazione attirano un'intensa sorveglianza perché ogni transazione potenzialmente avvicina le criptovalute rubate alla conversione in fondi spendibili. Le implicazioni più ampie sono di natura geopolitica: un Gruppo di Esperti delle Nazioni Unite ha riferito che il furto di criptovalute rappresenta una significativa fonte di entrate per Pyongyang, contribuendo a finanziare i programmi di armi di distruzione di massa e missili balistici del paese in violazione delle sanzioni dell'ONU.

I wallet di Lazarus si riattivano

Secondo Lookonchain, i wallet associati al Gruppo Lazarus hanno spostato 121,5 BTC, stimati a circa 7,74 milioni di dollari. L'azienda non ha comunicato la destinazione dei fondi né ha collegato il trasferimento a un furto specifico precedente.

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd — Lookonchain (@lookonchain) July 30, 2026

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd

La Corea del Nord domina i furti di criptovalute nel 2026

TRM Labs ha stimato che gli hacker nordcoreani hanno rubato circa 577 milioni di dollari in criptovalute fino ad aprile 2026. Quasi la totalità di quell'importo deriva da due incidenti: un exploit da 285 milioni di dollari di Drift Protocol il 1° aprile e un attacco da 292 milioni di dollari a un bridge di KelpDAO il 18 aprile. Sebbene questi due incidenti abbiano rappresentato solo il 3% di tutti gli attacchi registrati, hanno costituito il 76% del valore totale rubato durante il periodo.

Il trend si è intensificato negli ultimi anni. Gli analisti di TRM osservano che la quota della Corea del Nord sul volume globale dei furti di criptovalute è passata da meno del 10% nel 2020 e 2021, al 22% nel 2022, al 37% nel 2023, al 39% nel 2024 e al 64% nel 2025, raggiungendo un nuovo record quest'anno. Dal 2017, gli hacker nordcoreani hanno rubato oltre 6 miliardi di dollari in asset digitali, consolidando il loro status di maggiore minaccia informatica statale del mondo.

Bitcoin, THORChain e il playbook "flood the zone"

L'ultimo movimento riprende lo schema di riciclaggio documentato da TRM Labs in seguito all'hack di Bybit nel febbraio 2025, in cui attori nordcoreani hanno rubato circa 1,5 miliardi di dollari in Ether, il più grande furto di criptovalute mai registrato. Le indagini hanno rivelato che i colpevoli hanno rapidamente instradato i fondi attraverso THORChain per convertirli in Bitcoin, per poi dirottare una parte attraverso mixer di monete come Wasabi Wallet e CryptoMixer.

Quel attacco ha evidenziato i limiti della trasparenza della blockchain. Il Center for Strategic and International Studies (CSIS) ha osservato nella sua analisi del caso Bybit che, sebbene gli investigatori abbiano identificato molti dei wallet coinvolti entro pochi giorni, la velocità dei trasferimenti attraverso exchange decentralizzati, bridge cross-chain e giurisdizioni ha permesso a una parte sostanziale delle criptovalute rubate di continuare a circolare prima che le forze dell'ordine potessero intervenire.

Nick Carlsen di TRM, ex analista dell'FBI, descrive la metodologia del Gruppo Lazarus come "flood the zone", una strategia deliberata per sopraffare gli investigatori generando un elevato volume di transazioni su multiple piattaforme entro un lasso di tempo ristretto. Il gruppo spesso detiene Bitcoin convertiti senza ulteriori attività per periodi prolungati prima di instradare eventualmente i fondi verso canali di incasso. I rapporti del Gruppo di Esperti dell'ONU hanno documentato che queste reti di incasso si affidano frequentemente a broker over-the-counter che operano in Cina e nel Sud-est asiatico e che contribuiscono a convertire le criptovalute in valute fiat.

Questo contesto rende degno di nota il trasferimento di 121,5 BTC. Piuttosto che liquidare gli asset rubati in un'unica grande transazione, gli operatori nordcoreani spostano tipicamente incrementi più piccoli nel tempo. Se fosse in corso un altro ciclo di distribuzione, gli exchange, gli sportelli over-the-counter (OTC) e gli investigatori blockchain potrebbero affrontare una maggiore sorveglianza nei prossimi mesi.

I wallet sanzionati richiedono screening a livello di mercato

Il Gruppo Lazarus rimane soggetto alle sanzioni del Dipartimento del Tesoro degli Stati Uniti nell'ambito del programma DPRK3 dell'Office of Foreign Assets Control, che designa gli indirizzi di criptovaluta collegati all'organizzazione. Qualsiasi entità che elabori transazioni coinvolgenti questi indirizzi rischia l'esposizione a sanzioni, il che significa che i fondi etichettati come provenienti da Lazarus devono essere trattati come un problema di conformità immediato.

L'FBI ha attribuito al gruppo molteplici furti di criptovalute, tra cui l'hack da 100 milioni di dollari del Harmony Horizon Bridge del 2022 e l'hack di Bybit del febbraio 2025, che il bureau ha collegato alla Corea del Nord con il nome in codice "TraderTraitor".

Il recente trasferimento di 121,5 BTC conta meno per il suo valore in dollari che per ciò che segnala. Gli asset rubati dagli hacker nordcoreani possono riemergere mesi o addirittura anni dopo il furto iniziale, e anche una transazione relativamente piccola da un wallet Lazarus noto può segnare l'inizio di un'operazione di riciclaggio più ampia, finché tali indirizzi rimangono attivi.