أخبار BlockBeats، في 8 أبريل، كشف المحقق على السلسلة ZachXBT أن مصدرًا مجهولًا شارك بيانات مسروقة من خادم دفع داخلي في كوريا الشمالية، تغطي 390 حسابًا وسجلات دردشة ومعلومات تداول العملات المشفرة. هذه شبكة احتيال معقدة تبلغ قيمتها حوالي مليون دولار أمريكي شهريًا، وتتضمن هويات مزيفة ووثائق قانونية مزورة وقنوات تحويل العملات المشفرة إلى العملة المحلية.

منصة الدفع الداخلية للعاملين في مجال تكنولوجيا المعلومات في كوريا الشمالية تشبه Discord، وتستخدم لتقديم التقارير ودفع المدفوعات للمشرفين، وكلمة المرور الافتراضية للموقع "123456" لم تتغير لفترة طويلة، وتتضمن قائمة المستخدمين الأدوار والأسماء الكورية الشمالية والمدن ومجموعات الترميز، كما تشمل ثلاث شركات تم فرض عقوبات عليها من قبل OFAC وهي Sobaeksu و Saenal و Songkwang. منذ نهاية نوفمبر 2025 حتى الآن، تلقت محافظ الدفع التي عالجتها هذه المنصة ما مجموعه أكثر من 3.5 مليون دولار أمريكي، ونمط الدفع ثابت حيث يقوم العاملون بتحويل العملات المشفرة من منصات التداول، أو تحويل العملة المحلية باستخدام حسابات بنكية عبر منصات مثل Payoneer، ويقوم المسؤول "PC-1234" بتقديم بيانات الاعتماد للحساب بعد تأكيد وصول المبلغ.

يُظهر الرسم البياني للهيكل التنظيمي بوضوح إجمالي المدفوعات لكل مستخدم ومجموعة، بالإضافة إلى أنشطة أخرى وتفاصيل داخلية للعصابة، بما في ذلك استخدام أداة Astrill لتجاوز جدار الحماية، والتقدم لوظائف بهويات مزيفة، ومناقشات Slack، وتبادل مواد تدريبية في الهندسة العكسية. تظهر بعض سجلات الدردشة أن العاملين في مجال تكنولوجيا المعلومات في كوريا الشمالية ناقشوا سرقة أموال المشاريع عبر وكلاء نيجيريين، ولكن لم يتم تأكيد ما إذا كان قد تم تنفيذ ذلك.