О том, как это случилось, написано немало. Утром 30 июня 1994 года сотрудники гонконгского отделения «Philippe National Bank Int. Finance Ltd.» обнаружили пропажу со своих счетов 143 800 долларов США. После проверки выяснилось, что деньги были переведены на неизвестный счет при посредничестве «Ситибанка». Запрос в Нью-Йорк ничего не дал. Сотрудники обвинили в ошибке самих потерпевших. Сумма, по банковским меркам, была не столь уж велика, а в надежности системы безопасности даже не возникало сомнений. Гонконгско-филиппинские финансисты предпочли списать деньги как безвозвратные потери. Но 15 июля 1994 года с такой же жалобой обратилась уругвайская «Compania Financiera Immobiliaria Montevideo», недосчитавшаяся 384 тыс. долларов. В «Ситибанке» решили разобраться в происходящем. И не напрасно. Программисты банковской службы безопасности обнаружили в системе следы деятельности хакера. Однако проследить, откуда велась атака, так и не сумели. А значит, банк был совершенно беззащитен. Ведь позволить себе приостановить финансовую деятельность он не мог. «Ситибанк», стараясь не поднимать шума, обратился за помощью в ФБР. И вскоре удалось обнаружить счета, на которые перекачивались деньги. «География» ограбления оказалась весьма интересной: Великобритания, Германия, Финляндия, Израиль, Нидерланды… Всего эксперты насчитали около ста несанкционированных проникновений в систему, сорок из которых были прямой командой на перечисление денег. Следующим шагом была локализация сигнала. Это заняло довольно много времени, но путем отслеживания серверов, через которые Левин выходил на банк, удалось определить, что атаки производились из Санкт-Петербурга. Ходили слухи, что в обнаружении Левина не последнюю роль сыграл один из американских хакеров, когда-то осужденный за взлом системы «Ситибанка». Дальнейшее, как говорится, было делом техники. ФБР обратилось к полиции стран, на территории которых находились избранные хакером банки. В отделениях этих банков была организована засада. Одновременно с этим трансакции «Ситибанка» взяли под контроль и некоторое время наблюдали за тем, как хакер продолжает свои атаки. Левин и не подозревал, что перекачивает с одного счета на другой уже не доллары, а всего лишь цифры. По его расчетам, сумма приближалась к десяти миллионам долларов.
Однако успешно проведенные атаки – только половина дела. Хакеру необходимо было еще и превратить виртуальные деньги в реальные. ФБР совместно с Интерполом предположили, что за деньгами прибудет либо сам хакер, либо его помощники. Ждать пришлось недолго. 26 августа 1994 года в Сан-Франциско был задержан первый курьер – Екатерина Королькова, а следом за ней, уже в Тель-Авиве – некто с греческим паспортом на имя Алексиоса Пальмидиса. Задержанный греческого языка не знал, зато прекрасно владел русским. И неудивительно: курьер, устроивший при задержании настоящую драку, оказался российским гражданином Алексеем Лашмановым. Третий курьер, Владимир Воронин (тоже с поддельным паспортом на фамилию Лысенков), попал в руки полиции чуть позже, 12 сентября, в Роттердаме. У всех курьеров были обнаружены авиабилеты до Санкт-Петербурга. Началась совместная операция МВД России и ФБР. 3 октября питерский РУОП с помощью обычного телефона с определителем номера засек обращение по электронной сети в «Ситибанк» с номера, принадлежавшего фирме «Сатурн СПб». Еще несколько дней было потрачено на установление личности хакера. Однако арестовывать Левина не торопились: юридической базы не было. За ним просто наблюдали.