Der in joyfill-Paketen versteckte Schadcode wird bereits beim Laden des CommonJS-Einstiegspunkts ausgeführt – nicht über Lifecycle-Hooks – und nutzt eine mehrstufige Blockchain-Infrastruktur zur Payload-Zustellung, die Sicherheitsforscher einer vermutlich nordkoreanischen Operation zuordnen.