Кластер кошельков, связанный с северокорейской группировкой Lazarus, перевел 121,5 биткоина (BTC) на сумму около 7,74 млн долларов примерно за час до того, как транзакция была отмечена трекером блокчейн-аналитики Lookonchain в четверг.

Хотя эта сумма невелика для рынка, где дневные объемы торгов регулярно достигают десятков миллиардов долларов, значение заключается в связи кошелька с группой Lazarus. Адреса, привязанные к организации, подвергаются пристальному вниманию, поскольку каждая транзакция потенциально приближает украденные криптовалюты к конвертации в расходуемые средства. Более широкие ставки носят геополитический характер: Группа экспертов ООН сообщила, что кража криптовалют служит значительным источником доходов для Пхеньяна, помогая финансировать программы страны по созданию оружия массового уничтожения и баллистических ракет в нарушение санкций ООН.

Кошельки Lazarus реактивируются

По данным Lookonchain, кошельки, связанные с группой Lazarus, перевели 121,5 BTC, что оценивается примерно в 7,74 млн долларов. Компания не раскрыла, куда были направлены средства, и не связала перевод с конкретной предыдущей кражей.

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd — Lookonchain (@lookonchain) July 30, 2026

The Lazarus Group hackers moved 121.5 $BTC ($7.74M) an hour ago. pic.twitter.com/5qrmlvxMGd

Северная Корея доминирует в кражах криптовалют в 2026 году

TRM Labs подсчитали, что к апрелю 2026 года северокорейские хакеры украли около 577 млн долларов в криптовалюте. Почти вся эта сумма произошла из двух инцидентов: взлома Drift Protocol на 285 млн долларов 1 апреля и атаки на мост KelpDAO на 292 млн долларов 18 апреля. Хотя эти два инцидента составили всего 3% от всех зафиксированных взломов, на них пришлось 76% от общей стоимости украденных средств за этот период.

С годами эта тенденция усилилась. Аналитики TRM отмечают, что доля Северной Кореи в глобальном объеме краж криптовалют выросла с менее 10% в 2020 и 2021 годах до 22% в 2022 году, 37% в 2023 году, 39% в 2024 году и 64% в 2025 году, достигнув нового рекорда в текущем году. С 2017 года северокорейские хакеры украли более 6 млрд долларов в виде цифровых активов, закрепив за собой статус крупнейшей в мире спонсируемой государством киберугрозы.

Биткоин, THORChain и тактика «затопления зоны»

Последнее движение повторяет схему отмывания денег, задокументированную TRM Labs после взлома Bybit в феврале 2025 года, в ходе которого северокорейские злоумышленники украли около 1,5 млрд долларов в эфире — самая крупная кража криптовалюты в истории. Расследование показало, что преступники быстро перевели средства через THORChain для их конвертации в биткоины, а затем направили часть через монетные миксеры, такие как Wasabi Wallet и CryptoMixer.

Эта атака подчеркнула ограничения прозрачности блокчейна. Центр стратегических и международных исследований (CSIS) отметил в своем анализе дела Bybit, что, хотя следователи выявили многие из задействованных кошельков за несколько дней, скорость переводов через децентрализованные биржи, кросс-чейн мосты и юрисдикции позволила значительной части украденной криптовалюты продолжать обращаться до того, как вмешались правоохранительные органы.

Ник Карлсен из TRM, бывший аналитик ФБР, описывает методологию группы Lazarus как «затопление зоны» (flood the zone) — преднамеренную стратегию, направленную на то, чтобы перегрузить следователей, генерируя большое количество транзакций на нескольких платформах в сжатые сроки. Группа часто хранит конвертированные биткоины без какой-либо активности в течение длительного времени, прежде чем в конечном итоге направить средства в каналы вывода. В отчетах Группы экспертов ООН задокументировано, что эти сети вывода часто полагаются на внебиржевых брокеров, действующих в Китае и Юго-Восточной Азии, которые помогают конвертировать криптовалюту в фиатные валюты.

Этот контекст делает перевод 121,5 BTC примечательным. Вместо того чтобы ликвидировать украденные активы в одной крупной транзакции, северокорейские операторы обычно со временем перемещают меньшие суммы. Если начался еще один цикл распределения, биржи, внебиржевые (OTC) площадки и исследователи блокчейна могут столкнуться с повышенным вниманием в ближайшие месяцы.

Санкционированные кошельки требуют проверки всем рынком

Группа Lazarus по-прежнему подвергается санкциям Минфина США по программе DPRK3 Управления по контролю за иностранными активами (OFAC), в рамках которой указаны криптовалютные адреса, связанные с организацией. Любое юридическое лицо, проводящее транзакции с участием этих адресов, рискует подвергнуться санкциям, что означает, что средства, помеченные как исходящие от Lazarus, должны рассматриваться как немедленная проблема комплаенса.

ФБР приписало группе множество краж криптовалют, включая взлом Harmony Horizon Bridge на 100 млн долларов в 2022 году и взлом Bybit в феврале 2025 года, который бюро связало с Северной Кореей под кодовым названием «TraderTraitor».

Недавний перевод 121,5 BTC важен не столько своей долларовой стоимостью, сколько тем сигналом, который он подает. Активы, украденные северокорейскими хакерами, могут вновь появиться через месяцы или даже годы после первоначальной кражи, и даже относительно небольшая транзакция с известного кошелька Lazarus может ознаменовать начало более широкой операции по отмыванию денег — при условии, что такие адреса остаются активными.