Северна Корея е изградила многостепенна система за подбор и обучение на хакери, която според американските власти и Binance стои зад кражба на криптоактиви за около 6,3 млрд. долара. Атаката от 29 октомври е определена като най-голямата кражба на криптовалута досега. ФБР свързва операцията с групата TraderTraitor, известна още като Lazarus и APT38, а Пхенян отхвърля обвиненията и ги нарича политическа провокация.

Подготовката започва още в средното училище. Всяка година около 200 от най-добрите ученици на 11–12 години се насочват към компютърни науки, а на 17 години най-силните продължават във водещи университети с нов подбор. Обучението включва криптовалутни протоколи, обратно инженерство, напреднала математика и чужди езици. Част от младежите попадат във военни киберзвена, а други работят дистанционно за западни компании. Северна Корея създава първото си киберзвено през 1998 г., а при Ким Чен Ун то получава по-висок статут; през 2013 г. кибервойната е определена като универсален меч, сравним с ядрените оръжия.

Южнокорейската разузнавателна служба оценява кибероперациите на около 8400 души през 2024 г. Най-успешните хакери получават жилища в Пхенян, възможност родителите им да живеят с тях, достъп до управляващата партия и бракове с елита. Военно звено може да получи до 30% от печалбата при успешна операция, а отделни специалисти — твърда валута и жилище до 132 кв. м. Зад привилегиите стоят тежки условия: тесни помещения, над 10 часа работа дневно, постоянен контрол и месечни финансови цели.

Атаката е започнала с фалшиво интервю за работа и заразен софтуер, скрит в обява, след което хакерите са използвали вътрешен инструмент с изкуствен интелект, за да получат контрол над системи на борсата. Севернокорейските групи все по-често атакуват големи организации с големи финансови резерви. Севернокорейски IT специалисти използват платени версии на ChatGPT, Claude Code и Cursor за писане на код, промяна на автобиографии и изработване на фалшиви документи и самоличности. Мониторингов екип на ООН от 11 държави е установил, че TraderTraitor е използвала акаунти в ChatGPT и DeepSeek.