Atakujący zasilił portfel przez Tornado Cash, a następnie przejął delegację EIP-7702 i zbiorczo wyprowadził aktywa. Podpis transakcji był prawidłowy, co wskazuje na kradzież klucza lub przejęcie konta podpisującego. Na wstępnym etapie nie było dowodów na obejście weryfikacji podpisu.