Drei quelloffene Gerüste teilten sich die Arbeit: Strix suchte Schwachstellen, Cairn führte Angriffe von Anfang bis Ende aus, Hermes steuerte die Kampagne. Die Modelle kamen über den Vermittler OpenRouter. Für Hermes nutzte der Angreifer Anthropics Opus 4.6 – nach Gambits Darstellung, weil neuere Modelle seine Anfragen verweigerten. Strix lief auf GLM 5.2 und später DeepSeek v4 Pro, Cairn auf DeepSeek v4.1 Flash.
In Hermes hinterlegte der Angreifer 121 Fertigkeiten, davon 78 für Angriffe – darunter eine, die die Inhaltsfilter des Gerüsts selbst entfernt. Der menschliche Anteil blieb klein: 1.951 Eingaben in 260 Sitzungen, wenige je Ziel. Zwischen dem 23. und 31. August lief Strix 146-mal im Tiefenmodus gegen 138 Rechner und verbrauchte 633 Maschinenstunden in 195 Stunden Echtzeit.
Die Kosten blieben niedrig. Ein am 25. August abgegriffener Kontostand weist für vier Wochen 7.005,71 Dollar aus; Gambit schätzt die Gesamtausgaben auf 12.000 bis 18.000 Dollar. Über 101 abgeschlossene Durchläufe errechnet der Bericht einen Mittelwert von 25,46 Dollar, von 3,13 Dollar für das billigste bis 79,31 Dollar für das teuerste Ziel.
Folgenreich war die Aufräumroutine. Eine Fertigkeit löschte nach dem Abzug der Kartendaten die Quellfelder in Stapeln; bei einem Fahrradhändler traf das 180 Tabellen, deren Namen zu einem Suchmuster passten – darunter die Sicherungskopien, die die Administratoren selbst angelegt hatten. Erpressung war nicht das Ziel; der Schaden entstand als Nebenwirkung der autonomen Ausführung.
Bei der Zahl der eingesetzten Skimmer widerspricht sich der Bericht: Seine Zusammenfassung nennt fünf Webseiten, der Fachteil bestätigt Skimmer auf 19 von mindestens 27 benannten Opfern und über 100 weitere infizierte Seiten. Die Zielauswahl mied gängige Shop-Systeme und suchte Läden mit eigenem Code. Eine Gruppe oder Herkunft ordnet Gambit nicht zu.