Việc rút tiền diễn ra vào lúc 3 giờ 42 phút ngày 31 tháng 8. Kẻ tấn công đã lợi dụng khả năng tạo các thị trường quyền chọn nhị phân mà không cần sự cho phép, bằng cách thế chấp quỹ bảo hiểm, và thực hiện chuỗi giao dịch này 299 lần liên tiếp; vốn ban đầu là 9.110 USDT được chuyển qua cầu Peggy.
Cuối cùng, họ đã rút khoảng 4,88 triệu USD, ngay lập tức chuyển đổi số tiền này thành 1.979,81 ETH qua ba lần chuyển. Tiền không đi qua các máy trộn hay sàn giao dịch nào cả; hiện chúng vẫn đang nằm tại một địa chỉ duy nhất.
Khi mạng lưới vẫn hoạt động, một ví chưa xác định, trước đó đã ngừng hoạt động gần 18 ngày, đã gửi tin nhắn tới cả hai địa chỉ của kẻ tấn công, đề nghị thảo luận về "phần thưởng" và liên hệ qua Telegram. Người gửi đã biết trước cả hai địa chỉ của kẻ xấu, nhưng không hề xác nhận rằng mình có liên hệ với chính Injective; do đó, không thể coi đây là lời đề nghị chính thức từ giao thức, mà có thể chỉ là một nỗ lực nhằm chiếm đoạt tiền.
Hiện vẫn chưa rõ tổng số tiền người dùng đã mất do 299 lần rút quỹ bảo hiểm này; chúng tôi đang chờ thông tin chính thức từ Injective.