بعد تسريحهم من الجيش، بدأ منظمو المخطط بتجنيد شباب المتخصصين في تكنولوجيا المعلومات من جامعة كيم تشيهوك للتقنيات و جامعة بيونغ يانغ للعلوم والتكنولوجيا، كما يروي متحدث مجهول لـ Daily NK. وفقًا له، أنشأت المجموعة بنية تحتية سرية لعمليات العملات المشفرة استخدمتها لقانونية الأموال المسروقة.
استخدم الأعضاء معدات لاسلكية متخصصة مصنوعة في الصين وتطبيقات مراسلة مشفرة للتواصل. وقد مكّنتهم المهارات التي اكتسبوها أثناء الخدمة في وحدات الإنترنت من الدخول إلى الشبكات الداخلية وأنظمة الدفع للبنك المركزي، وكذلك إلى البنك الحكومي للتجارة الخارجية.
وفقًا لمصدر Daily NK، كانت الأموال تُسحب بدفعات صغيرة لتجنب جذب الانتباه. ثم تم إرسالها إلى محافظ كريبتو خارجية، وبعد ذلك قام وسطاء مرتبطون بالمجموعة في الصين بتبادل الأصول الرقمية نقدًا. ووفقًا للادعاءات، تم توزيع الدولارات الأمريكية واليوان الصيني عبر شبكة وسطاء في مدن حدودية مثل شينجيانغ وهايسان.
بدأت السلطات الكورية الشمالية التحقيق بعد أن اكتشف موظفو الجهات المالية عدم تطابقات في عمليات صرف العملات، بالإضافة إلى اتصالات مشبوهة بأنظمة مصرفية من عناوين IP خارجية. ثم أطلقت إدارة الاستخبارات الوطنية في كوريا الشمالية تحقيقًا داخليًا.
كشفت الأجهزة الأمنية عن عنوان شقة تكتيكية في بيونغ يانغ، والتي وفقًا للتحقيق، كانت تُستخدم لتنسيق العمليات. خلال المداهمة، تم اعتقال المشتبه بهم كمنظمين ومتخصصين في تكنولوجيا المعلومات، كما تم مصادرة معدات الحاسوب وهواتف مؤقتة غير مسجلة. بعد الحادث، عززت القوات حراسة بنك التجارة الخارجية ومركز حسابات البنك المركزي، وفي نفس الوقت نشرت معدات للبحث عن أجهزة اتصال أخرى تعمل على نفس الترددات غير القياسية.
وفقًا لمصادر Daily NK، أثار التحقيق ضجة واسعة بين المسؤولين والعسكريين الكوريين الشماليين، حيث تورط في المخطط الإجرامي موظفون سابقون في وحدات سيبرانية حكومية نخبوية. ويدّعي متحدث للنشرة أن المتهمين في القضية قد يواجهون أقسى عقوبات ممكنة، بما في ذلك الإعدام.
سابقًا، حسب خبراء الأمن السيبراني في شركة CertiK أنه خلال العقد الماضي، سرق قراصنة كوريا الشمالية أصولًا رقمية بقيمة إجمالية قدرها 6.75 مليار دولار نتيجة 263 هجومًا مؤكّدًا.