Im Rahmen seines Schuldbekenntnisses gab Buchanan zu, sich mit anderen Mitgliedern von Scattered Spider verschworen zu haben, um 2022 zehntausende SMS-basierte Phishing-Angriffe zu starten. Diese führten zu Einbrüchen bei mehreren Technologiefirmen, darunter Twilio, LastPass, DoorDash und Mailchimp.
Die bei diesen Angriffen erbeuteten Daten nutzte die Gruppe anschließend für sogenannte SIM-Swapping-Attacken gegen einzelne Krypto-Anleger. Bei einem unautorisierten SIM-Swap übertragen die Täter die Rufnummer des Opfers auf ein eigenes Gerät und fangen so SMS und Anrufe ab – etwa Einmalpasswörter zur Authentifizierung oder per SMS verschickte Links zum Zurücksetzen von Passwörtern. Laut US-Justizministerium gestand Buchanan, von Opfern in den gesamten USA virtuelle Währung im Wert von mindestens acht Millionen Dollar gestohlen zu haben.
Die Ermittler des FBI brachten Buchanan mit den SMS-Phishing-Angriffen von 2022 in Verbindung, nachdem sie festgestellt hatten, dass derselbe Benutzername und dieselbe E-Mail-Adresse zur Registrierung zahlreicher in der Kampagne verwendeter Phishing-Domains genutzt wurden. Der Domain-Registrar NameCheap stellte fest, dass sich das Konto, über das diese Domains registriert wurden, weniger als einen Monat vor der Phishing-Welle von einer britischen IP-Adresse aus angemeldet hatte. Diese Adresse war den FBI-Ermittlern zufolge laut schottischer Polizei im Jahr 2022 durchgehend auf Buchanan angemietet.
Wie KrebsOnSecurity zuerst berichtete, floh Buchanan im Februar 2023 aus dem Vereinigten Königreich, nachdem eine konkurrierende Cybercrime-Bande Schläger angeheuert hatte, die in sein Haus eindrangen, seine Mutter angriffen und drohten, ihn mit einem Lötbrenner zu verbrennen, falls er nicht die Zugangsschlüssel zu seiner Krypto-Wallet herausgebe. Im selben Jahr fanden britische Ermittler in seinem Wohnsitz in Schottland ein Gerät mit Daten von SMS-Phishing-Opfern sowie Seed-Phrasen von Opfern des Krypto-Diebstahls.
Spanische Behörden nahmen Buchanan im Juni 2024 fest, als er einen Flug nach Italien besteigen wollte. Er wurde an die USA ausgeliefert und befindet sich seit April 2025 in US-Bundesgewahrsam.
Buchanan ist das zweite bekannte Scattered-Spider-Mitglied, das sich schuldig bekannt hat. Noah Michael Urban, 21, aus Palm Coast in Florida wurde im vergangenen Jahr zu zehn Jahren Bundeshaft verurteilt und zur Zahlung von 13 Millionen Dollar Schadenersatz verpflichtet. Drei weitere mutmaßliche Mittäter – Ahmed Hossam Eldin Elbadawy alias „AD", Evans Onyeaka Osiebo und Joel Martin Evans alias „joeleoli" – müssen sich weiterhin vor Gericht verantworten.
Zwei weitere mutmaßliche Mitglieder, Owen Flowers (18) und Thalha Jubair (20), sollen demnächst im Vereinigten Königreich vor Gericht stehen. Ihnen werden Hacking- und Erpressungsangriffe auf mehrere große britische Einzelhändler, das Londoner Nahverkehrssystem sowie Gesundheitsdienstleister in den USA zur Last gelegt. Beide haben sich für nicht schuldig erklärt; der Prozess soll im Juni beginnen.
Nach Einschätzung der Ermittler gehören die Verdächtigen zu einer weit verzweigten Online-Szene namens „The Com", in der sich Hacker verschiedener Cliquen auf Telegram und Discord öffentlich mit aufsehenerregenden Cyber-Diebstählen brüsten – fast immer mit Social Engineering als Ausgangspunkt. Auf einer Rangliste eines bekannten SIM-Swapping-Kanals stand Buchanans Pseudonym „Tylerb" auf Platz 65 von 100, Urbans Alias „Sosa" auf Platz 24.
Die Anhörung zur Strafzumessung ist für den 21. August 2026 angesetzt. Das gesetzliche Höchstmaß liegt bei 22 Jahren Bundeshaft, doch könnte das Urteil durch mildernde Umstände der US-Strafzumessungsrichtlinien deutlich geringer ausfallen – etwa durch Buchanans Alter, sein Vorstrafenregister, die bereits verbüßte Haftzeit und das Maß seiner Kooperation mit den Bundesbehörden.