署名は本物で、秘密鍵も失われていなかった。それでも資金は移動させられた。分析機関によると、問題は「何に署名するか」という部分にあった。鍵の保管が破られたのではなく、ウォレットに攻撃者が望む内容を署名させられたのだ。

イーサリアム以外の約9～10のチェーンでは、攻撃者はホットウォレットに通常の送金取引を署名させたが、受取人は攻撃者が管理するアドレスだった。イーサリアムでは、EIP-7702を利用して50件の事前署名済み認可を埋め込み、その時点の取引シーケンス番号と一致する1件だけが有効になるようにした。各チェーンがこれを受け入れたのは、署名が取引所独自の署名経路を通っていたためだ。流出額の大部分は約20分以内に送金された。