来自BCA LTD、NorthScan和ANY.RUN的研究人员搭建了一家名为Ballena Azul LTD的虚假去中心化金融（DeFi）初创公司，并将疑似朝鲜IT员工招聘进一个受控的虚拟环境，使其在通过面试后，研究人员能够从内部观察这些人员。报告称，这些开发人员疑似为与拉撒路集团有关的Famous Chollima成员，他们据称提交了伪造的美国身份证明文件，包括驾照、被盗用的社会安全号码，以及在Lead Bank、Citibank和Wise开设的账户。其中一张驾照的元数据显示，该证件曾使用Google Gemini处理，并带有SynthID水印。研究人员表示，这些员工在编码和完成任务时严重依赖ChatGPT，在面试和站会上使用实时翻译工具，并通过包括AstrillVPN出口节点、Vultr和Gorilla Servers，以及带有交易历史的加密货币钱包在内的基础设施开展活动。报告称，这一模式不仅仅是招聘风险，因为一旦进入公司，这些人员就可能合法接触代码、系统、知识产权以及受信任的业务流程。这些发现进一步加剧了外界对朝鲜渗透加密货币公司的广泛担忧。TRM Labs将截至2026年4月的2026年加密货币黑客攻击损失中的76%归因于朝鲜团队，而2025年的失窃金额达到20亿美元。现有报道还称，《华尔街日报》的一项调查发现，朝鲜行动人员已渗透至少8家美国公司；研究人员援引的美国财政部数据则显示，2024年这种远程员工计划的收益接近8亿美元。