Door slechts vier .io-domeinen te registreren was het mogelijk om alle domeinen met deze extensie over te nemen, zo ontdekte beveiligingsonderzoeker Matthew Bryant. Alle top level domein (tld) beschikken over zogeheten authoritative nameservers die informatie over geregistreerde domeinen binnen het tld bevatten. In het geval van het .io-tld bleek dat de domeinnamen van vier van de zeven authoritative nameservers gewoon te registreren waren.

Bryant registreerde als eerste het domein NS-A1.io, dat tot grote verbazing van de onderzoeker beschikbaar was. In een blogposting laat Bryant weten dat hij eigenlijk verwachtte dat de registratie zou worden geweigerd, maar een paar dagen later kreeg hij bericht dat zijn registratie succesvol was. Daardoor ontving de server die hij voor NS-A1.io had ingesteld dns-verzoeken voor alle .io-domeinen. Als een aanvaller het domein had geregistreerd had die bezoekers van .io-domeinen naar kwaadaardige websites kunnen doorsturen.

Bryant haalde zijn server offline zodat alle dns-verzoeken door de andere authoritative nameservers van het .io-domein werden overgenomen. Het bleek echter ook nog mogelijk om de domeinnamen van drie andere authoritative nameservers voor het .io-tld te registreren. Bryant registreerde deze domeinen om naar eigen zeggen misbruik door anderen te voorkomen en waarschuwde vervolgens de verantwoordelijke partij 101Domain.

Via 101Domain had Bryant de domeinnamen geregistreerd. In een verklaring laat het bedrijf weten dat door een probleem in het systeem van de Registry Operator bepaalde domeinnamen ten onrechte als beschikbaar waren aangemerkt. Daarop werd de registratie van Bryant teruggedraaid en kreeg de onderzoeker zijn geld terug.