BCA LTD、NorthScan、ANY.RUNの研究者らは、Ballena Azul LTDと呼ばれる偽のDeFi（分散型金融）スタートアップを設立し、北朝鮮のIT労働者とみられる人物を管理された仮想環境に採用した。これにより、面接を通過した後の工作員を内部から観察できた。報告書では、ラザラスグループに関連するFamous Chollimaのメンバーと疑われる開発者らは、運転免許証、盗用された社会保障番号、Lead Bank、Citibank、Wiseの口座を含む偽造された米国の身元証明情報を提出したとされる。免許証の1つのメタデータからは、それがGoogle Geminiで処理され、SynthIDのウォーターマークを含んでいたことが示された。研究者らによると、この労働者らはコーディングや課題遂行でChatGPTに大きく依存し、面接やスタンドアップではライブ翻訳ツールを使用し、AstrillVPNの出口ノード、VultrとGorilla Servers、取引履歴のある仮想通貨ウォレットを含むインフラを通じて活動していた。報告書は、この手口は単なる採用上のリスクにとどまらないと指摘した。いったん内部に入り込めば、工作員はコード、システム、知的財産、信頼された業務プロセスに正当なアクセスを得られるためである。今回の発見は、北朝鮮による仮想通貨企業への浸透を巡るより広範な懸念を強める内容である。TRM Labsは、2026年4月までの仮想通貨ハッキング被害額の76%を北朝鮮のグループによるものとしており、2025年の窃取額は20億ドルに達した。既存の報道によれば、The Wall Street Journalの調査で、北朝鮮の工作員が少なくとも米企業8社に浸透していたことが判明した。また、研究者らが引用した米財務省のデータでは、このリモートワーカー計画による2024年の収入は約8億ドルとされた。