GitBook dijo en una revisión del incidente del 2 de noviembre que los atacantes accedieron a su entorno de producción durante aproximadamente 3 horas y 25 minutos. Según Odaily, 23pds, director de seguridad de la información de SlowMist, identificó a Trade.xyz como el objetivo. Los atacantes aprovecharon una falla en el proceso de inicio de sesión único para falsificar la sesión de un empleado, utilizaron credenciales de una aplicación de GitHub mal configuradas para acceder a un repositorio interno de código y obtuvieron una clave de API de Cloudflare. GitBook deshabilitó las cuentas de servicio afectadas en cuestión de horas, dejó la plataforma fuera de línea durante unas 16 horas y la restableció por completo a las 11:56 UTC del 3 de noviembre.

GitBook rotó las claves de infraestructura y de clientes alojados, e invalidó los tokens de API. Como es posible que los atacantes hayan accedido a datos de clientes, la empresa consideró que todos los datos de clientes podrían haber quedado expuestos, incluidos los tokens de API, las claves de integración, las claves de firma de sesiones, los registros de preguntas y respuestas del asistente y los permisos de las aplicaciones autorizadas de GitHub y GitLab. La información de facturación, las contraseñas y las direcciones IP no se vieron afectadas. GitBook afirmó que las pruebas disponibles indican que el ataque se centró en un cliente, que no se encontró ningún otro contenido de clientes que hubiera sido alterado y que los atacantes dependieron en gran medida de la automatización y la IA.