Selon les chercheurs, le programme collecte notamment identifiants, sessions et données de portefeuilles numériques, puis construit un profil enrichi avec des reçus et historiques de commandes. Il peut transmettre ce dossier à un modèle via OpenRouter pour obtenir une évaluation.
La configuration privilégie Claude Opus 4.6, avec Kimi K2 puis Gemini 2.5 Flash en secours en cas de refus. Cette séquence décrit ce que le code prévoit : elle ne prouve pas que les modèles ont accepté les requêtes. Sans clé d’API, le vol peut se poursuivre sans l’étape IA. Talos recommande de révoquer les jetons potentiellement compromis et de changer les mots de passe.