Secondo PANews, l'investigatore di criptovalute ZachXBT ha rivelato che oltre 16,58 milioni di dollari in pagamenti sono stati diretti a lavoratori IT nordcoreani impiegati da vari progetti e aziende dal 1 gennaio 2025. Questo equivale a una media di 2,76 milioni di dollari al mese. Basato su salari mensili che vanno da 3.000 a 8.000 dollari per persona, questo suggerisce che tra 345 e 920 posizioni potrebbero essere state infiltrate.
ZachXBT ha monitorato sei cluster, identificandone uno in cui otto lavoratori IT nordcoreani erano impiegati in oltre 12 progetti. Gli indirizzi di pagamento sono stati tracciati a due principali punti di raccolta. L'intelligence open-source ha indicato che un membro di questo cluster, Sandy Nguyen (@bullishgopher), è stato fotografato accanto a una bandiera nordcoreana mentre si trovava in Russia.
Nonostante la disponibilità pubblica di numerosi indicatori e materiali di ricerca che puntano a queste infiltrazioni, alcune persone liquidano i risultati come teorie del complotto. Ulteriori comunicazioni con team correlati hanno rivelato ulteriori attività sospette all'interno del cluster, come il rifiuto di incontrarsi di persona nonostante affermassero di essere nella stessa città, raccomandazioni di lavoro reciproche, indirizzi IP insoliti, cambiamenti di nome utente, eliminazioni di account, pagamenti allo stesso indirizzo e fallimenti nel superare i controlli KYC.