PANews poinformował 13 sierpnia, że ZachXBT ujawnił, że źródło włamało się do urządzeń północnokoreańskiego personelu IT i odkryło, że mały zespół zdobył stanowiska programistów, używając ponad 30 fałszywych tożsamości, kupił konta Upwork i LinkedIn przy użyciu rządowych dokumentów tożsamości i pracował przez AnyDesk. Istotne dane obejmowały eksporty z Google Drive, profile Chrome i zrzuty ekranu.
Adres portfela 0x78e1 jest ściśle powiązany z atakiem na kwotę 680 000 dolarów na platformę Favrr w czerwcu 2025 roku. Zidentyfikowano również więcej północnokoreańskiego personelu IT. Zespół używał produktów Google do planowania zadań, zakupu numerów SSN, subskrypcji AI i VPN. Niektóre historie przeglądania pokazały częste korzystanie z Google Translate do tłumaczeń koreańskich, a adres IP był rosyjski. Zaniedbania ze strony rekruterów i brak koordynacji między usługami stanowią główne wyzwania w zwalczaniu tej działalności.


