Los investigadores de seguridad rastrearon y reprodujeron todo el proceso de ataque mediante la ejecución de código. Después de desbloquear la cartera, el atacante utilizó la llamada a la función GET_SEED_PHRASE para obtener los datos de la frase mnemónica, y luego llenó estos datos sensibles en el campo "Error" (visible en el registro R1). Esta técnica oculta la frase de recuperación clave de la cartera dentro del mecanismo de manejo de errores para evadir la detección, siendo una amenaza típica para la seguridad de las carteras Web3. Esta vulnerabilidad demuestra cómo se puede extraer la información de recuperación privada del usuario mediante operaciones de código de bajo nivel, alertando a los usuarios y desarrolladores para fortalecer la auditoría de seguridad de las carteras.