BlockBeats haberine göre, 8 Nisan'da zincir dedektifi ZachXBT, anonim bir kaynağın Kuzey Kore iç ödeme sunucusundan çalınan ve 390 hesap, sohbet kayıtları ve kripto para işlem bilgilerini kapsayan verileri paylaştığını açıkladı. Bu, kimlik sahtekarlığı, sahte yasal belgeler ve kripto paradan itibari paraya dönüşüm kanallarını içeren, aylık yaklaşık 1 milyon ABD doları işlem hacmine sahip karmaşık bir dolandırıcılık ağıdır.

Kuzey Koreli BT çalışanlarının iç ödeme platformu, Discord'a benzer şekilde, üstlerine rapor vermek ve ödeme yapmak için kullanılıyor, varsayılan şifre "123456" uzun süredir değiştirilmemiş, kullanıcı listesi rol, Kuzey Kore adı, şehir ve kod grubunu içeriyor ve ayrıca OFAC tarafından yaptırım uygulanan Sobaeksu, Saenal ve Songkwang adlı üç şirketi de kapsıyor. Kasım 2025 sonundan bu yana, bu platformda işlem gören ödeme cüzdanları toplamda 3,5 milyon ABD dolarından fazla almıştır, ödeme modeli sabittir: çalışanlar kripto parayı işlem platformundan gönderir veya Payoneer gibi platformlar aracılığıyla banka hesaplarını kullanarak itibari para transfer eder, yönetici "PC-1234" hesaba aktarıldıktan sonra hesap kimlik bilgilerini sağlar.

Organizasyon şeması, her kullanıcının ve grubun toplam ödeme tutarını, ayrıca grubun diğer faaliyetlerini ve Astrill güvenlik duvarı aşma aracını kullanma, sahte kimlikle iş başvurusu yapma, Slack'te tartışma ve tersine mühendislik eğitim bilgilerini birbirleriyle paylaşma gibi iç detayları açıkça göstermektedir. Bazı sohbet kayıtları, Kuzey Koreli BT çalışanlarının Nijeryalı bir aracı aracılığıyla proje fonlarını çalmayı tartıştığını gösteriyor, ancak bu eylemin gerçekleştirilip gerçekleştirilmediği henüz doğrulanmadı.