Theo PANews, nhà điều tra tiền điện tử ZachXBT đã tiết lộ rằng hơn 16,58 triệu đô la trong các khoản thanh toán đã được chuyển đến các công nhân CNTT Triều Tiên làm việc cho nhiều dự án và công ty khác nhau kể từ ngày 1 tháng 1 năm 2025. Điều này tương đương với trung bình 2,76 triệu đô la mỗi tháng. Dựa trên mức lương hàng tháng dao động từ 3.000 đến 8.000 đô la mỗi người, điều này gợi ý rằng có thể đã có từ 345 đến 920 vị trí bị xâm nhập.
ZachXBT đã theo dõi sáu nhóm, xác định một nhóm mà ở đó tám công nhân CNTT Triều Tiên đã làm việc trên hơn 12 dự án. Các địa chỉ thanh toán đã được truy vết đến hai điểm thu chính. Các thông tin tình báo nguồn mở cho thấy một thành viên của nhóm này, Sandy Nguyen (@bullishgopher), đã được chụp ảnh bên cạnh một lá cờ Triều Tiên khi ở Nga.
Mặc dù có nhiều chỉ báo và tài liệu nghiên cứu công khai chỉ ra những sự xâm nhập này, một số cá nhân lại bác bỏ các phát hiện này là lý thuyết âm mưu. Sự giao tiếp thêm với các đội liên quan đã phát hiện thêm các hoạt động nghi ngờ trong nhóm, chẳng hạn như từ chối gặp mặt trực tiếp mặc dù tuyên bố đang ở cùng thành phố, giới thiệu công việc lẫn nhau, địa chỉ IP bất thường, thay đổi tên người dùng, xóa tài khoản, thanh toán đến cùng một địa chỉ, và không vượt qua kiểm tra KYC.
