GitBook teilte in einem Bericht zur Untersuchung des Vorfalls vom 2. November mit, dass Angreifer etwa 3 Stunden und 25 Minuten lang Zugriff auf die Produktionsumgebung hatten. Odaily zufolge identifizierte 23pds, Chief Information Security Officer bei SlowMist, Trade.xyz als Ziel. Die Angreifer nutzten eine Schwachstelle im Single-Sign-on-Prozess aus, um eine Mitarbeitersitzung zu fälschen, verwendeten falsch konfigurierte Zugangsdaten einer GitHub-App, um auf ein internes Code-Repository zuzugreifen, und erlangten einen Cloudflare-API-Schlüssel. GitBook deaktivierte die betroffenen Dienstkonten innerhalb weniger Stunden, nahm die Plattform für etwa 16 Stunden offline und stellte sie am 3. November um 11:56 UTC vollständig wieder her.

GitBook hat Infrastruktur- und Schlüssel für gehostete Kunden rotiert und API-Tokens für ungültig erklärt. Da Angreifer möglicherweise auf Kundendaten zugegriffen haben, behandelte das Unternehmen sämtliche Kundendaten als potenziell offengelegt. Dazu gehörten API-Tokens, Integrationsschlüssel, Sitzungssignaturschlüssel, Q&A-Datensätze des Assistenten sowie Berechtigungen für autorisierte GitHub- und GitLab-Apps. Abrechnungsinformationen, Passwörter und IP-Adressen waren nicht betroffen. GitBook zufolge deuten die verfügbaren Beweise darauf hin, dass sich der Angriff auf einen Kunden konzentrierte. Es wurden keine Hinweise darauf gefunden, dass Inhalte anderer Kunden verändert wurden. Die Angreifer setzten stark auf Automatisierung und KI.