В отчёте о расследовании инцидента от 2 ноября GitBook сообщил, что злоумышленники получили доступ к его производственной среде примерно на 3 часа и 25 минут. По данным Odaily, директор по информационной безопасности SlowMist 23pds установил, что целью стала Trade.xyz. Злоумышленники воспользовались уязвимостью в процессе единого входа, чтобы подделать сессию сотрудника, использовали неправильно настроенные учётные данные GitHub App для доступа к внутреннему репозиторию кода и получили ключ API Cloudflare. В течение нескольких часов GitBook отключил затронутые служебные учётные записи, вывел платформу из сети примерно на 16 часов и полностью восстановил её 3 ноября в 11:56 UTC.

GitBook сменил ключи инфраструктуры и ключи клиентов, использующих хостинг, а также аннулировал токены API. Поскольку злоумышленники могли получить доступ к данным клиентов, компания исходила из того, что все данные клиентов потенциально могли быть раскрыты, включая токены API, ключи интеграций, ключи подписи сеансов, записи вопросов и ответов ассистента, а также разрешения для авторизованных приложений GitHub и GitLab. Платёжные данные, пароли и IP-адреса не пострадали. По словам GitBook, имеющиеся данные свидетельствуют о том, что атака была нацелена на одного клиента; признаков изменения содержимого других клиентов обнаружено не было. Злоумышленники активно использовали автоматизацию и ИИ.