X-explore đăng trên nền tảng X rằng kẻ tấn công Poloniex có thể là nhóm hacker Lazarus Group của Triều Tiên, nhóm trước đó đã tấn công Stake.com vào ngày 4 tháng 9. Hành vi của cả hai cuộc tấn công đều giống nhau. Đầu tiên, các mã thông báo khác nhau được giữ trên các địa chỉ khác nhau, có nghĩa là mỗi địa chỉ chỉ xử lý một loại mã thông báo. Thứ hai, sử dụng địa chỉ trung gian để trao đổi mã thông báo erc20/trc20 trên sàn giao dịch phi tập trung và sau đó chuyển ETH/TRX sang địa chỉ mới.