PANews informó el 13 de agosto que ZachXBT reveló que una fuente hackeó los dispositivos del personal de TI norcoreano y descubrió que un pequeño equipo de ellos había obtenido puestos de desarrolladores utilizando más de 30 identidades falsas, compraron cuentas de Upwork y LinkedIn usando identificaciones gubernamentales, y trabajaron a través de AnyDesk. Los datos relevantes incluían exportaciones de Google Drive, perfiles de Chrome y screenshots.
La dirección de billetera 0x78e1 está estrechamente vinculada al ataque de $680,000 a la plataforma Favrr en junio de 2025. También se ha identificado a más personal de TI norcoreano. El equipo utilizó productos de Google para programar tareas, comprar SSNs, suscripciones de IA y VPNs. Algunos historiales de navegación mostraron el uso frecuente de Google Translate para traducciones al coreano, y la dirección IP era rusa. La negligencia por parte de los reclutadores y la falta de coordinación entre servicios son desafíos importantes para combatir esta actividad.
