Aan Noord-Korea gekoppelde wallets verkopen 30 miljoen dollar aan bitcoin
Opbrengst ging naar ether en solana
Volgens CoinDesk hebben wallets die aan een Noord-Koreaanse hackergroep worden toegeschreven via handelsplatform Hyperliquid voor meer dan 30 miljoen dollar aan bitcoin verkocht.
Blockchainanalysebedrijf Arkham Intelligence koppelde de wallets op verzoek van CoinDesk aan Lazarus Group. Het gaat om een analytische toeschrijving, niet om een officieel vastgestelde identiteit van de beheerders. Volgens de analyse vonden de verkopen in de afgelopen drie weken plaats.
Volgens CoinDesk werd de bitcoin omgezet in ether en solana en gingen die munten vervolgens naar Kraken, LBank en KuCoin. Op twee gepubliceerde Arkham-overzichten zijn onder meer zeven overboekingen in solana te zien van 10 en 11 augustus, samen ruim duizend munten, naar stortingsadressen met Kraken- en LBank-labels. De publicatie gaf geen volledige walletadressen, transactiegegevens of berekening vrij, waardoor de precieze hoeveelheid bitcoin en gebruikte koersen niet onafhankelijk zijn na te rekenen.
Ook is onbekend wie de ontvangende accounts bij de drie cryptobeurzen beheert en of geld uit deze specifieke stroom is geblokkeerd of bevroren. Kraken en LBank wezen tegenover CoinDesk op hun controles. KuCoin zei de activiteit zonder de onderliggende gegevens niet te kunnen verifiëren.
Wallets waren al twee jaar in beeld
De verkochte voorraad stond al langer onder observatie. On-chainonderzoeker ZachXBT publiceerde in mei 2024 zeven bitcoinadressen die volgens hem aan 25 verschillende Lazarus-hacks waren gekoppeld. Er stond toen 891 bitcoin op, door hem gewaardeerd op 61,8 miljoen dollar. Volgens CoinDesk zijn dat dezelfde wallets die nu via Hyperliquid verkochten. Eerder onderzoek naar die hacks leidde volgens ZachXBT tot 3,8 miljoen dollar aan bevroren tegoeden.
De Amerikaanse sanctiedienst OFAC plaatste Lazarus Group op 13 september 2019 op de sanctielijst. Volgens het Amerikaanse ministerie van Financiën wordt de groep gecontroleerd door de Noord-Koreaanse overheid en valt hij onder het Reconnaissance General Bureau. De sanctielijst bevat wel ethereumadressen van de groep, maar geen van de zeven bitcoinadressen: de groep is gesanctioneerd, deze adressen staan er niet afzonderlijk op.
Hyperliquid controleert gebruikers niet
Hyperliquid laat gebruikers met een eigen wallet handelen zonder account, identificatie of screening. Een bij de Amerikaanse beurswaakhond SEC ingediend prospectus noemt het ontbreken van zulke controles een structureel kenmerk van het netwerk. Het platform reageerde volgens CoinDesk niet vóór publicatie.
Nieuw is het patroon niet. CoinDesk beschreef eind 2024 al handel op Hyperliquid door wallets die aan Noord-Korea werden gelieerd. Het platform zei destijds dat het niet was geëxploiteerd en dat er geen gebruikersgeld verloren was gegaan.
Voor wie het op de keten wil naslaan: de zeven bitcoinadressen die ZachXBT in mei 2024 publiceerde en aan Lazarus Group koppelde zijn bc1qw88pehjuejym9jyfgn6vn4aaw7q232hlyzzn6f, bc1q27vxzyuh4vqwt3u9aqpuk7z5xtgz9y0tqxzesq, bc1q62clzxr4vcycjfdqe33ake4dk9fenkpaddkteq, bc1qfad2yxulctgz6g6tw635n52cw3v7wxydmtmd0f, bc1q972gcd3ywyc2n2p5lzs5mdwra5q8nymzg0qlx0, bc1qfenmgt8x2ndhm00xsv09snvandvl9j9w0fhtzw, bc1qmd3kzw0ge45eag7qpuhyxa5kdv4hqh3kxp44dg. Of deze adressen deelnamen aan de verkopen van de afgelopen weken is niet onafhankelijk vastgesteld.