Trình duyệt giao dịch Phalcon đã đăng trên nền tảng X rằng TrustPad đã bị tấn công do một số lỗi thiết kế trong logic đặt cược, cụ thể là thao túng thời gian khóa thông qua các lệnh gọi bên ngoài không đáng tin cậy để nhận phần thưởng đang chờ xử lý. Trong chức năng getUpPool của hợp đồng LaunchpadLockableStake, nếu tài khoản không bị khóa thì thời gian DepositLockStart sẽ được đặt. Sau đó, kẻ tấn công thao túng nó để gửi tiền ngay lập tức (thông qua chức năng getUpPool) và rút tiền để tích lũy phần thưởng đang chờ xử lý.
Ngoài ra, một chức năng khác, stakePendingRewards, cho phép kẻ tấn công chuyển đổi phần thưởng đang chờ xử lý tích lũy thành số tiền đặt cược, cho phép kẻ tấn công rút phần thưởng đặt cược dưới dạng mã thông báo TPAD trong các giao dịch trong tương lai và bán mã thông báo để kiếm lợi nhuận.