Nach einer im November 2024 veröffentlichten Anklageschrift gehörte Buchanan zu einer Gruppe von fünf Angeklagten, die mit umfangreichen Phishing-Kampagnen Zugangsdaten von Beschäftigten stahlen, sich Zugriff auf sensible Daten verschafften und Millionenbeträge entwendeten.

Die Staatsanwaltschaft führt aus, dass Buchanan Teil jener Gruppe war, die einen Ransomware-Angriff auf MGM Resorts ausführte sowie Angriffe auf mindestens ein Dutzend weiterer Unternehmen aus Bereichen wie Telekommunikation, Technologie und Krypto-Dienstleistungen. Zu den Opfern zählen demnach auch Coinbase, Twilio, Mailchimp und LastPass.

Laut Gerichtsunterlagen nutzten die Beteiligten SMS-Phishing, auch „Smishing“ genannt, um an die Konten der Opfer zu gelangen. Sie verschickten Hunderte täuschend echter Textnachrichten an Beschäftigte und gaben sich dabei als legitime Unternehmenskommunikation oder als Drittdienstleister aus.

Wer auf die betrügerischen Links klickte, wurde auf gefälschte Websites geleitet, die Anmeldedaten abgreifen sollten. Mit diesen Daten drangen die Täter in Unternehmenssysteme ein und griffen auf sensible Informationen zu, darunter Konten für virtuelle Währungen. Die erbeuteten Anmeldedaten wurden den Ermittlern zufolge über Online-Kanäle wie Messaging-Plattformen geteilt, was der Gruppe die Koordination von Einbrüchen und Diebstählen ermöglichte.

Insgesamt entstand nach Angaben der Bundesanwaltschaft ein Schaden von mindestens 8 Millionen Dollar in virtueller Währung bei Geschädigten in den gesamten USA. Die Ziele beschränkten sich dabei nicht auf Unternehmen, sondern umfassten auch Privatpersonen. In einigen Fällen ging es um sensible persönliche Daten wie kryptografische „Seed Phrases“ und Anmeldedaten, die von beschlagnahmten Geräten wiederhergestellt wurden.

Buchanan befindet sich seit April 2025 in US-Bundesgewahrsam; sein Urteil wird noch in diesem Jahr erwartet. Ihm droht eine Höchststrafe von bis zu 22 Jahren Haft.

Einer seiner Mitangeklagten, Noah Michael Urban, verbüßt derzeit eine zehnjährige Haftstrafe, nachdem er sich im vergangenen April schuldig bekannt hatte. Die drei weiteren mutmaßlichen Mitverschwörer – Ahmed Hossam Eldin Elbadawy (24) aus Texas, Evans Onyeaka Osiebo (21) aus Dallas und Joel Martin Evans (26) aus North Carolina – wurden ebenfalls angeklagt und warten weiterhin auf ihren Prozess.