Após serem demitidos do exército, os organizadores do esquema começaram a recrutar jovens especialistas em TI da Universidade Politécnica Kim Chaek e da Universidade de Ciência e Tecnologia de Pyeongyang, relata um interlocutor anônimo do Daily NK. Segundo ele, o grupo criou uma infraestrutura clandestina para operações com criptomoedas, utilizada para legalizar fundos roubados.
Para comunicação, os membros do grupo utilizavam equipamentos sem fio especializados de fabricação chinesa e mensageiros criptografados. As habilidades adquiridas durante o serviço nas unidades cibernéticas permitiram invadir redes internas e sistemas de pagamento do Banco Central, bem como do banco estatal de comércio exterior.
De acordo com informações da fonte Daily NK, os fundos foram retirados em pequenos lotes para não chamar atenção. Em seguida, foram enviados para carteiras criptográficas no exterior, após o que corretores associados ao grupo na China trocavam os ativos digitais por dinheiro em espécie. Os dólares americanos e ienes chineses obtidos, segundo afirmam, foram distribuídos por meio de uma rede de intermediários nas cidades fronteiriças de Xinyang e Hesan.
As autoridades da Coreia do Norte iniciaram uma investigação após funcionários de órgãos financeiros detectarem discrepâncias na conferência de operações cambiais, bem como conexões suspeitas com sistemas bancários provenientes de endereços IP estrangeiros. Em seguida, a Agência Nacional de Inteligência da RPDC iniciou uma verificação interna.
As agências de inteligência identificaram o endereço de um apartamento secreto em Pyongyang, do qual, segundo a investigação, as operações foram coordenadas. Durante a operação, os supostos organizadores e especialistas em TI foram detidos, e equipamentos de computação e telefones descartáveis não registrados foram apreendidos. Após o incidente, as forças de segurança reforçaram a proteção do Banco de Comércio Exterior e do centro de computação do Banco Central, ao mesmo tempo em que instalaram equipamentos para localizar outros dispositivos de comunicação que operavam nas mesmas frequências não padronizadas.
According to sources from Daily NK, the investigation has caused widespread uproar among North Korean officials and military personnel, as former employees of elite state cyber units were involved in the criminal scheme. A source from the publication claims that those implicated in the case may face the harshest possible punishment, including the death penalty.
Anteriormente, especialistas em cibersegurança da CertiK calcularam, que nos últimos dez anos, hackers norte-coreanos roubaram criptoativos no valor total de $6,75 bilhões em decorrência de 263 ataques confirmados.