Laut US-Justizministerium nutzten Buchanan und seine Komplizen ein Phishing-Kit, um die Zugangsdaten von Mitarbeitern abzufangen und an einen Telegram-Kanal weiterzuleiten, den Buchanan zusammen mit einem Mittäter betrieb. Auf diese Weise gelangten sie an die Anmeldedaten, mit denen sie sich in die Konten und Systeme der betroffenen Firmen einloggten.
Um an die Krypto-Wallets der Opfer zu kommen und die Mehr-Faktor-Authentifizierung zu umgehen, setzten die Täter auf sogenanntes SIM-Swapping. Dabei wird die Rufnummer eines Opfers auf eine SIM-Karte übertragen, die unter der Kontrolle der Angreifer steht. So konnten die Hacker die Codes der Zwei-Faktor-Authentifizierung abfangen und auf die Konten zugreifen.
Bereits im April 2023 hatten Ermittler in Buchanans Wohnsitz in Schottland ein Gerät sichergestellt, das die Namen und Adressen mehrerer Opfer enthielt. Auf dem Gerät fand sich zudem eine Datei mit Krypto-Seed-Phrasen sowie Anmeldedaten für ein Opferkonto.
Die Urteilsverkündung gegen Buchanan ist für den 21. August angesetzt. Sein Mittäter Noah Michael Urban wurde im August des Vorjahres wegen seiner Rolle in der Gruppe Scattered Spider zu zehn Jahren Haft verurteilt. In dem Verfahren wurden drei weitere Personen angeklagt: Ahmed Hossam Eldin Elbadawy (23) aus College Station, Texas, Evans Onyeaka Osiebo (20) aus Dallas, Texas, sowie Joel Martin Evans (25) aus Jacksonville, North Carolina.
Scattered Spider ist auch unter den Namen Muddled Libra, Scatter Swine, Starfraud und UNC3944 bekannt. Die Gruppe machte in den vergangenen Jahren mehrfach mit aufsehenerregenden Cyber-Einbrüchen Schlagzeilen, darunter der Angriff auf den Hotel- und Unterhaltungskonzern MGM Resorts sowie die Attacken auf Einzelhändler in Großbritannien und den USA im vergangenen Jahr.