Mensagem da BlockBeats, em 8 de abril, o detetive on-chain ZachXBT revelou que uma fonte anônima compartilhou dados roubados de um servidor de pagamento interno da Coreia do Norte, cobrindo 390 contas, registros de chat e informações de trocas de criptomoedas. Esta é uma rede de fraude complexa com um fluxo mensal de cerca de 1 milhão de dólares, envolvendo falsificação de identidade, documentos legais forjados e canais de conversão de criptomoedas para fiat.

A plataforma de pagamento interna dos trabalhadores de TI norte-coreanos é semelhante ao Discord, usada para relatar aos superiores e para pagamentos, a senha padrão do site "123456" não foi alterada por muito tempo, a lista de usuários inclui cargos, nomes norte-coreanos, cidades e grupos de codificação, e também envolve três empresas sancionadas pela OFAC: Sobaeksu, Saenal e Songkwang. Desde o final de novembro de 2025 até o presente, as carteiras de pagamento processadas por esta plataforma receberam um total de mais de 3,5 milhões de dólares, o padrão de pagamento é fixo: os trabalhadores enviam criptomoedas de plataformas de troca ou transferem fiat usando contas bancárias através de plataformas como Payoneer, o administrador "PC-1234" fornece as credenciais da conta após confirmar o crédito.

O organograma exibe claramente o valor total dos pagamentos de cada usuário e grupo, bem como outras atividades e detalhes internos do grupo, incluindo o uso da ferramenta Astrill para atravessar firewalls, busca de emprego com identidades falsas, discussões no Slack e compartilhamento mútuo de materiais de treinamento de engenharia reversa. Alguns registros de chat mostram que trabalhadores de TI norte-coreanos discutiram o roubo de fundos de projetos através de agentes nigerianos, mas ainda não foi confirmado se foi implementado.