Se ha sabido que el detective en la cadena, ZachXBT, publicó en Twitter que una filtración de datos de servidores de pago internos de Corea del Norte revela que su red de trabajadores de TI obtiene aproximadamente 1 millón de dólares / mes mediante suplantación de identidad y conversiones de criptomonedas a moneda fiduciaria. Desde noviembre de 2025, las carteras relacionadas han recibido más de 3.5 millones de dólares; los datos involucran 390 cuentas y registros de chat, mostrando que las transacciones se reportan a través de una plataforma interna, con una cuenta de administrador PC-1234 que confirma los fondos y distribuye los comprobantes. Algunas entidades ya han sido sancionadas por OFAC. El análisis en la cadena indica que las direcciones relacionadas están vinculadas a un grupo de TI conocido de Corea del Norte, y una dirección TRON fue congelada por Tether en diciembre de 2025. Algunas acciones de ataque no están claramente definidas.