ZachXBT a divulgué des données volées aux serveurs de paiement internes de la Corée du Nord, révélant des transactions impliquant 390 comptes, des journaux de discussion et des enregistrements de cryptomonnaies. Depuis novembre 2025, ces comptes ont reçu plus de 3,5 millions de dollars, les fonds étant retirés via des plateformes d'échange ou convertis en monnaie fiduciaire via des plateformes comme Payoneer, puis déposés sur des comptes bancaires chinois. Une analyse on-chain relie ces adresses de paiement à des travailleurs informatiques nord-coréens, une adresse Tron ayant été gelée par Tether en décembre 2025. Trois entreprises figurant sur la liste des utilisateurs, dont Sobaeksu, ont été sanctionnées par l'OFAC. ZachXBT a compilé un organigramme couvrant les données de décembre 2025 à février 2026.