Im Zentrum der Technik steht eine Besonderheit im Ablauf einer Visa-Kontaktloszahlung. Das Ablaufdatum taucht dabei laut der Arbeit zweimal auf, allerdings für unterschiedliche Empfänger. Das Terminal prüft seine Verarbeitungsregeln anhand des Application Expiration Date im TLV-Tag 5F24. Die herausgebende Bank leitet das Ablaufdatum dagegen aus den Track-2-Equivalent-Daten in Tag 57 ab, die in die Online-Autorisierungsanfrage einfließen.
Nach Angaben der Forscher verlangt Visa Kernel 3 nicht, dass diese beiden Darstellungen konsistent miteinander verknüpft sind. Außerdem umfasst die vom Terminal geprüfte Signatur der schnellen dynamischen Datenauthentifizierung 5F24 überhaupt nicht. Das Relay kann deshalb das gegenüber dem Terminal sichtbare Datum auf einen beliebigen zukünftigen Wert umschreiben, während Track 2 unverändert bleibt. Dadurch bleiben sowohl die Kartensignatur als auch das von der Bank geprüfte Kryptogramm gültig. Anwar erklärte in einer Mitteilung der Universität über das Ablaufdatum: „Es ist jedoch nicht kryptografisch geschützt. Deshalb können wir es leicht verändern, um das Kassenterminal zu täuschen.“
Dass eine Karte abgelaufen ist, führt außerdem nicht automatisch zum Scheitern der Offline-Prüfung. Laut Paper werden die Laufzeiten des Herausgeber- und des Chipkartenzertifikats unabhängig vom Anwendungsablaufdatum festgelegt und reichen routinemäßig über das aufgedruckte Datum hinaus. Der private Schlüssel der Karte enthält demnach keinerlei Ablaufbezug. Hinzu kommt: Kernel 3 schreibt vor, dass die an die Bank übermittelten Terminal Verification Results auf null gesetzt werden. Die Bank kann also nicht erkennen, ob das Terminal die lokale Ablaufprüfung durchgeführt hat oder daran gescheitert ist.
Die Evaluation umfasste laut Abstract fünf große US-Banken; Experimente mit physisch abgelaufenen und ersetzten Karten betrafen drei davon. Bei einer dieser drei Banken wurden die wiederbelebten Transaktionen genehmigt, eine andere lehnte jeden Versuch ab, und bei der dritten lief ein anderer EMV-Kernel, auf dem die Änderung grundsätzlich scheiterte. Gegen die als Bank A bezeichnete Herausgeberin gelangen Transaktionen über 1,00, 100,00 und 500,00 US-Dollar am eigenen, als Professional Services registrierten Terminal der Forscher sowie Käufe über 2,79 US-Dollar bei einem Einzelhändler und 3,19 US-Dollar in einem Lebensmittelgeschäft auf dem Campus.
Bei Bank B akzeptierte das Terminal zwar das manipulierte Ablaufdatum in allen drei Laborbeträgen, die herausgebende Bank lehnte jedoch jede Transaktion ab und forderte den Karteninhaber auf, die Ersatzkarte zu verwenden. Unveränderte Transaktionen mit der abgelaufenen Karte wurden in allen Basistests korrekt zurückgewiesen. Die Banken werden im gesamten Paper als A bis E anonymisiert. Die Autoren betonen zudem, dass die Käufe im Einzelhandel und im Lebensmittelgeschäft nur die externe Gültigkeit des Ansatzes belegen sollen und keine flächendeckende Messstudie über Händler, Terminalhersteller oder Bankkonfigurationen darstellen. Sämtliche Tests fanden in den USA statt.
Das Relay bestand aus zwei NFC-fähigen Android-Smartphones mit eigens entwickelter Karten- und Terminal-Emulationssoftware über WLAN. Getestet wurde mit SumUp Solo und SumUp Plus. Nach Schätzung des Teams kamen pro APDU-Rundlauf etwa 20 Millisekunden für das Relay und 50 Millisekunden mit Modifikation hinzu; im Mittel lag eine Transaktion bei rund 415 Millisekunden und damit unter dem EMV-Grenzwert von 500 Millisekunden pro Kommando. Weder die eingesetzten Karten noch die Terminals unterstützten das optionale EMV Relay Resistance Protocol, das die zulässige Antwortzeit begrenzt und die zusätzliche Latenz erkennen würde.
Eine getrennte Beobachtung außerhalb des Visa-Ergebnisses betrifft eine Karte, die noch nicht abgelaufen war, aber wegen einer Restlaufzeit von unter drei Monaten automatisch ersetzt worden war. Sowohl die alte als auch die Ersatzkarte konnten auf demselben Konto unverändert weiter Transaktionen abschließen, und zwar auf Kernel 6, bei dem die eigentliche Ablaufdaten-Manipulation scheiterte.
Visa hat sich öffentlich nicht zu den Ergebnissen geäußert. Im Paper heißt es, der Bericht an das Netzwerk habe die erste Triage durchlaufen und werde von Visas Red Team reproduziert. Zum Zeitpunkt der Annahme des Papers hätten „weder Visa noch die benachrichtigten Banken ein Update zum Stand oder zur Art möglicher Gegenmaßnahmen geliefert“. The Hacker News fand zudem bis August 20, 2026 keine von Visa, EMVCo, Mastercard, Discover, American Express oder SumUp veröffentlichte Warnung, Spezifikationsmitteilung oder Abwehranleitung zu dem Thema.