ZachXBT cho biết một thiết bị của nhân viên IT Triều Tiên bị nhiễm trojan, làm rò rỉ dữ liệu từ máy chủ thanh toán nội bộ, gồm khoảng 390 tài khoản, nhật ký chat và các giao dịch tiền điện tử đã mã hóa.
Dữ liệu bị lộ phác họa cách nhóm này ghi nhận thu nhập và luân chuyển tiền điện tử qua một nền tảng nội bộ, đồng thời cung cấp thêm các địa chỉ ví có thể kiểm chứng công khai.
Theo ZachXBT, dữ liệu rò rỉ cho thấy nhóm IT Triều Tiên báo cáo thu nhập thông qua nền tảng nội bộ luckyguys.site. Nhóm này bị mô tả là sử dụng nhiều danh tính giả và giấy tờ pháp lý giả để thực hiện các hoạt động liên quan.
Luồng chuyển tiền được nêu gồm: chuyển tiền điện tử từ các sàn giao dịch hoặc dịch vụ khác về một ví do tài khoản quản trị “PC-1234” kiểm soát, sau đó đổi sang tiền pháp định thông qua các tài khoản ngân hàng Trung Quốc và một số nền tảng, trong đó có Payoneer.
ZachXBT cho biết kể từ tháng 11/2025, các địa chỉ liên quan đã nhận hơn 3,5 triệu USD. Một địa chỉ trên Tron được nói là đã bị Tether đóng băng vào tháng 12/2025. ZachXBT cũng công bố cấu trúc tổ chức của mạng lưới, chi tiết thanh toán và một số địa chỉ có thể xác minh công khai.