The BlockがBinanceの初期調査報告書を引用したところによると、攻撃者は6月に改ざんされたHomebrewインストールパッケージを介して、あるウォレットのDevOpsエンジニアを標的にした。Binanceによると、セキュリティチームは異常を発見した後、デバイスを交換し、影響を受けた認証情報をローテーションしたが、この事件によりエンジニアの役職と同僚の情報が露呈した。攻撃者はその後、9月に偽の求人を利用して別の従業員の仕事用コンピューターを感染させ、10月20日にはそのコンピューターと内部AIツールを利用してさらに2人のエンジニアのデバイスを制御し、コンテナデプロイ権限を発見した。報告書によると、攻撃者は10月29日に盗まれた認証情報を使用してコンテナをデプロイし、悪意のあるスクリプトを実行してウォレット攻撃を開始した。Binanceは攻撃経路を閉鎖し、影響を受けたシステムを再構築または交換したと述べている。