Nach Darstellung des Finanzministeriums steuert das MOIS mehrere Netzwerke von Cyberakteuren, die Spionage zur Durchsetzung politischer Ziele des Iran betreiben – wozu ausdrücklich auch die Schädigung amerikanischer Zivilisten gehöre.
Drei der Sanktionierten – Keyvan Fayyaz Ghareh Blagh, Saber Shahbazi Balujeh und Mohammad Reza Kadkhoda’i – sollen den Großteil der Netzwerkeinbrüche ausgeführt haben. Seit mindestens Ende 2023 seien sie in mehrere US-Unternehmen aus dem Bereich kritischer Infrastrukturen eingedrungen und hätten Daten abgezogen, darunter Energieversorger, Rüstungszulieferer, Gesundheitseinrichtungen, IT-Firmen und Finanzinstitute.
„Diese Gruppe führt häufig Angriffe auf Computernetzwerke im Auftrag oder zum Nutzen des iranischen MOIS durch", so das Treasury. Zugleich seien die Mitglieder stark von persönlicher Bereicherung und Gier getrieben, sodass einige eigene Profite über MOIS-Operationen stellten – was Teile der Gruppe dazu gebracht habe, auch iranische Unternehmen anzugreifen. Im Sommer 2024 sollen die Akteure in mehrere kommunale, bundesstaatliche und föderale Behörden in den USA eingedrungen sein; ein Jahr später griffen Mojtaba Ghal’eh-Kuhi und Saber Shahbazi Balujeh laut Treasury ein iranisches Telekommunikationsunternehmen an und exfiltrierten Daten. Arman Kahzadian konzentrierte sich demnach vor allem auf Kryptodiebstähle und brachte im Sommer 2023 eine Wallet mit Bitcoin im Wert von über 30.000 US-Dollar unter seine Kontrolle.
Die Blockchain-Analysefirma TRM Labs untersuchte 30 Wallets, die den fünf Mabna-Mitgliedern zugeordnet werden, und ermittelte Zuflüsse von insgesamt rund 16,8 Millionen US-Dollar. Allein zehn Adressen von Keyvan Fayyaz Ghareh Blagh erhielten zwischen dem 6. Januar 2018 und dem 20. August 2026 zusammen 15,5 Millionen – 92 Prozent des On-Chain-Volumens des Netzwerks. 15 Adressen im Umfeld von Behzad Mesri verzeichneten zwischen dem 12. Juli 2019 und dem 22. August 2026 Zuflüsse von 1,2 Millionen US-Dollar. Der verbliebene Restbestand aller 30 Adressen beträgt 202.662 US-Dollar.
TRM Labs hatte zuvor offengelegt, dass die beiden im Vereinigten Königreich ansässigen Tarnfirmen Zedcex und Zedxion die operative Finanzierung der Revolutionsgarden IRGC unterstützten; die Börsen sollen rund eine Milliarde US-Dollar an Geldern mit Bezug zur IRGC verarbeitet haben. DomainTools bescheinigte dem Zedxion-Zedcex-Geflecht in einem Folgebericht sämtliche Merkmale einer finanziellen Fassadenstruktur. Ari Redbord, Global Head of Policy bei TRM Labs, ordnet die Maßnahme ein: Im Kern gehe es um Sekundärsanktionen – jedes Land und jede Plattform, die weiterhin Geschäfte mit dem Iran mache, werde gewarnt, mit besonderem Fokus auf digitale Vermögenswerte.
Seit die USA und Israel im Februar 2026 mit Luftangriffen auf den Iran begannen, werden iranischen Akteuren mehrere Kampagnen zugeschrieben, darunter der Einbruch in das private E-Mail-Konto von FBI-Direktor Kash Patel sowie Angriffe auf über 30 Wasser- und Abwasserversorger in mindestens zwölf US-Bundesstaaten. Laut The Telegraph sollen mutmaßlich iranische Hacker zudem einen viertägigen Ausfall eines kleinen Kraftwerks im Vereinigten Königreich verursacht haben; die britische Regierung betonte, für das übergeordnete Energiesystem habe kein Risiko bestanden.
SentinelOne beschreibt die Iran-nahen Aktivitäten als vielschichtige Bedrohung aus mehreren Clustern mit je eigener Zielsetzung und Vorgehensweise – von Datensammlung und -zerstörung über Social Engineering und Cloud-Kompromittierungen bis zur Überwachung von Dissidenten und opportunistischen Angriffen auf exponierte OT-Systeme. „Das zentrale strategische Risiko ist die Wahlfreiheit beim Zugang", schrieb Forscher Tom Hegel: Ein und derselbe kompromittierte Zugang könne je nach Auftrag für Aufklärung, Folgeangriffe oder gezielte Störung genutzt werden.
Daneben hat sich laut DomainTools Investigations ein pro-iranisches Hacktivisten- und „Faketivisten"-Ökosystem gebildet: ein dezentraler Mix aus dschihadistisch ausgerichteten Kollektiven, nationalistischen Akteuren und staatsnahen Einflussnetzwerken, die über Telegram-Kanäle und Websites geteilte Ziellisten, DDoS-Mietdienste und wiederverwertete Leak-Daten verbreiten. Angriffsbehauptungen und Propaganda erschienen oft innerhalb von Stunden nach kinetischen Ereignissen; technisch bleibe das meiste anspruchslos, die Wirkung entstehe durch Geschwindigkeit, Sichtbarkeit und ideologische Rahmung.