Saldırının gerçekleştirildiği, ABD Büyükelçiliği personelinin kullandığı nizamiyenin güvenlik kamerasınca kaydedilen görüntülerde, Ecevit Şanlı’nın nizamiyenin camının önünde beklediği ve daha sonra içeriye girdiği görülüyor. Görüntülerden, önünü bir atkı ile kapattığı ve şapka taktığı görülen Şanlı’nın, saldırıda hayatını kaybeden Mustafa Akarsu tarafından üzerinin aranacağı sırada saldırıyı gerçekleştirdiği anlaşılıyor.

Milliyet'in haberine göre, elde edilen görüntülerin devamında ise Şanlı’nın x-ray cihazına girmeden, üzerindeki mekanizmayı ateşlediği görülüyor. Şanlı, birkaç saniye sonra, Akarsu’nun üzerini aramasına fırsat vermeden, vücuduna sarılı TNT’nin patlayıcı mekanizmasını butonla harekete geçirerek, kendisinin ve Akarsu’nun hayatını kaybetmesine, nizamiyede bulunan gazeteci Didem Tuncay’ın ağır biçimde yaralanmasına yol açan saldırıyı gerçekleştirdi.

Olayın ardından Şanlı’nın bağlantılarını ve saldırıdan önce kimlerle temas ettiğini araştırmaya başlayan polis, profesyonel bir çalışmayla karşılaştı. Şanlı’nın keşif yaptığı sırada yanında bağlantılı kişilerin de olabileceğini düşünen polis, Atatürk Bulvarı ve çevresindeki MOBESE kameralarının ve kamu kurumlarının güvenlik kameralarının toplamı 300 GB olan 2 bine yakın görüntüsünü izledi. Ancak bu görüntülerde Şanlı’nın izine ya da farklı şüphelilere rastlanamadı. Şanlı’nın sadece saldırıdan önceki son 10 dakikalık görüntüsüne ulaşılabildi. Buna göre, Şanlı 13.04’te Fransa Büyükelçiliği’nin önünden yürüyerek geçiyor. 13.08’te Almanya Büyükelçiliği’nin önünden geçen Şanlı, burada 2 kişiye ABD Büyükelçiliği’nin yerini soruyor. Şanlı, 13.14’te ise Milliyet’in ele geçirdiği görüntülerde net biçimde görüldüğü gibi, nizamiyenin camının önüne geliyor. Şanlı’nın ABD Büyükelçiliği’nin yerini sorduğu 2 kişinin de sorgulandığı ancak bu kişilerin adres sorulması dışında bilgilerinin bulunmadığının anlaşıldığı öğrenildi.

İrfan Aslan adına düzenlenen sahte kimlik kullanan Şanlı’nın, bu kimliğinin profesyonel biçimde hazırlanmadığı, mürekkep püskürtmeli bir yazıcıdan çıktı alınarak düzenlendiği belirlendi. Ekim 2012’de Almanya’daki arkadaşlarıyla vedalaşarak Türkiye’ye giriş yapan Şanlı’nın pasaport ve giriş-çıkış kayıtlarının hiçbiri bulunamadı. “İsmet” kod adının kullanan Şanlı’nın örgütün Belçika sorumlusu Musa Aşoğlu’na yakınlığıyla bilindiği de saptandı.

Ecevit Şanlı’nın saldırıyı gerçekleştirdiği patlayıcının el yapımı olmadığı, fabrikasyon TNT olduğu da saptandı. Patlayıcıya iliştirilen 9 voltluk pil akım kaynağı ve infilak kapsülü ile oluşturulan mekanizmayı, Şanlı’nın elinde tuttuğu, patlayıcıyı ateşleyen bir butonla harekete geçirildiği anlaşıldı.