ZachXBT divulgou dados roubados dos servidores internos de pagamento da Coreia do Norte, revelando transações envolvendo 390 contas, registros de conversas e registros de criptomoedas. Desde novembro de 2025, essas contas receberam mais de US$ 3,5 milhões, com fundos sendo retirados por meio de exchanges ou convertidos em moeda fiduciária via plataformas como Payoneer, e depois depositados em contas bancárias chinesas. A análise on-chain vincula esses endereços de pagamento a trabalhadores de TI norte-coreanos, com um endereço Tron congelado pela Tether em dezembro de 2025. Três empresas na lista de usuários, incluindo a Sobaeksu, foram sancionadas pela OFAC. ZachXBT compilou um organograma cobrindo dados de dezembro de 2025 a fevereiro de 2026.