Para penyerang telah membidik pengguna di situs web pihak ketiga dan Google Play dengan menyelinapkan malware sebagai layanan kripto. Sebagai contoh, salah satu aplikasi yang terinfeksi adalah aplikasi messenger bernama SOEX yang berfungsi sebagai pertukaran aset kripto. Aplikasi ini telah diunduh lebih dari 10.000 kali dari toko resmi. Selain itu, para ahli juga menemukan file APK dari aplikasi terinfeksi di situs web pihak ketiga yang kemungkinan terhubung dengan kampanye berbahaya. Aplikasi-aplikasi ini juga diklaim sebagai proyek investasi kripto, bahkan situs web tempat aplikasi-aplikasi tersebut diunggah diiklankan di berbagai jejaring sosial termasuk YouTube. Ahli Malware dari Kaspersky, Dmitry Kalinin, mengungkapkan bahwa setelah aplikasi tersebut diinstal, meskipun berfungsi seperti deskripsinya, juga mengirimkan foto-foto dari galeri ke penyerang. Kalinin menyatakan bahwa para penyerang kemungkinan dapat menemukan data rahasia dalam foto yang dikirimkan.