A GitBook afirmou em uma análise de incidente de 2 de novembro que invasores obtiveram acesso ao seu ambiente de produção por cerca de 3 horas e 25 minutos. Segundo o Odaily, 23pds, diretor de segurança da informação da SlowMist, identificou a Trade.xyz como alvo. Os invasores exploraram uma falha no processo de login único para falsificar a sessão de um funcionário, usaram credenciais mal configuradas do GitHub App para acessar um repositório interno de código e obtiveram uma chave de API da Cloudflare. A GitBook desativou as contas de serviço afetadas em poucas horas, deixou a plataforma fora do ar por cerca de 16 horas e a restaurou totalmente às 11h56 UTC de 3 de novembro.

A GitBook substituiu as chaves da infraestrutura e dos clientes hospedados e invalidou os tokens de API. Como os invasores podem ter acessado dados de clientes, a empresa tratou todos os dados dos clientes como potencialmente expostos, incluindo tokens de API, chaves de integração, chaves de assinatura de sessão, registros de perguntas e respostas do assistente e permissões de aplicativos autorizados do GitHub e do GitLab. Informações de faturamento, senhas e endereços IP não foram afetados. A GitBook afirmou que as evidências disponíveis indicam que o ataque se concentrou em um único cliente, que não foram encontradas alterações no conteúdo de nenhum outro cliente e que os invasores recorreram intensamente à automação e à IA.