функция initWallet() в коде, позволяющая определить владельца кошелька, оказалась публичной, и её мог вызвать любой человек. После переопределения владельца оставалось только перевести деньги
https://habrahabr.ru/post/333754/ (pdf) https://blog.zeppelin.solutions/on-the-parity-wallet-multisig-hack-405a8c12e8f7 (pdf)