En fait, tout le système est en ligne. Les quotas sont des unités, qui disposent, chacune, d'un numéro individuel (ce qui les différencie d'ailleurs des instruments financiers), attribué à un allocataire industriel dont le compte figure dans un registre national.
A partir de là, le vol a pu se produire soit par effraction du registre (« hacking »), soit par hameçonnage, qui est une escroquerie consistant, par exemple, à se faire remettre des quotas en se faisant passant auprès de l'allocataire pour une autorité de marché.
Dans tous les cas, les voleurs ont revendu les quotas immédiatement sur le marché et en ont encaissé le produit, qu'ils ont envoyé vers des destinations exotiques. Quant aux titulaires, ils s'aperçoivent du larcin à partir de la position de leur compte dans le registre.
Les failles ont été, principalement, des défauts de règles de sécurité, d'ordre administratif (par l'exemple l'absence de double habilitation sur les signatures) ainsi que, plus marginalement, une fragilité de certains systèmes d'accès aux registres dans un certain nombre de pays.