YHT'ye dönük sabotajı büyük bir gizlilik içinde yürüten PKK/KCK'lı grubun saldırı için kendi aralarında şifreli konuşmalar ve mesajlaşmalar yaptığı ortaya çıktı. Örgüt üyelerinin Yüksek Hızlı Tren'i havaya uçurmak için Diyarbakır'dan getirdikleri bombayı "çiçek" diye şifrelediği tespit edildi. Zanlıların cep telefonlarını birbirlerinin adlarını ise "aşkım" diye kaydettiği belirlendi. PKK/KCK'lıların YHT'yi hedef alan saldırının parolasını ise, "Kapıcı Ahmet parayı getirdi mi?" olarak şifrelediği anlaşıldı.

Kırıkkale'de polisin 20 Eylül günü durdurduğu Kurtalan Ekspresi'nde yapılan aramada sahipsiz bir yolcu çantasında 1 kilo C-4 plastik patlayıcı bulunmuştu. Yolcuların sahiplenmediği çantanın Halil Bayık'a ait olduğu anlaşılmış ve Bayık tutuklanmıştı. Operasyonun Diyarbakır ayağında ise Bayık ile birlikte hareket eden Ramazan P. ve üç kişi daha tutuklanmıştı.

Polis soruşturma sırasında Ankara'da tasarlanan saldırının kodlarını bir bir çözdü. Buna göre, Halil Bayık Kurtalan Ekspresi ile Ankara'ya gelecek ve burada örgüt üyesi Ramazan P. ile Kayaş'ta buluşarak eylem için harekete geçeceklerdi. Ramazan P. adlı zanlı 19 Eylül 2010 günü arkadaşları İ.A., ile E.Y.'yi aradı. Böylece eylemin "kuryeliğini" yapan Halil Bayık'ın trene binip-binmediğini ve planın sorunsuz işlediğini teyit etti. Her şeyi en ince ayrıntısına kadar hesap eden örgüt üyeleri teknik takibe yakalanmaktan kurtulamadı. Örgüt üyelerinin kendi aralarında yaptığı, "Kapıcı Ahmet parayı getirdi mi?" ile "Tamam parayı getirmiş" sözleri dinlemeye takıldı

Soruşturmada örgüt mensuplarının 20 Eylül günü Kumrular Sokak'ta bomba yüklü araçın infilak ettirilmesinden sonra aynı gün YHT'ye sabotaj gerçekleştirmek amacıyla Kayaş'ta buluşacakları saptandı. Saldırı için Ramazan P. Diyarbakır'dan uçakla Halil P. ise trenle yola çıktılar.

Uçakla Ankara'ya gelen Ramazan P. Kızılay'daki bombalı eylemi Ulus'ta öğrendi ve paniğe kapıldı. Ramazan P. bombayı trenle Ankara'ya getiren Halil Bayık'a plastik patlayıcıyı imha etmesi için cep telefonundan "Aşkım o çiçeği at gitsin" diye mesaj geçti. Bayık ise trenin geciktiğini, "Aşkım gecikmeli geleceğim" mesajı ile bildirdi. Poliste sorgulanan Ramazan P. ifadesinde patlamadan sonra Halil B.'nin yakalanabileceği gerekçesiyle bu şifreli mesajı yolladığını itiraf etti.

YHT'ye yönelik eylemi planlayan ve tutuklanan Ramazan P. ifadesinde şunları söyledi: "Ankara'ya saldırı için gelmeden önce asıl görevimiz Diyarbakır'da ekip otolarına eylem yapmaktı. Diyarbakır'daki Fırat Bulvarı üzerinde Halil Bayık ile birlikte polis ve ekip otolarının en çok nerelerden ve hangi güzergahlardan geçtiklerinin üç kez keşfini yaptık. Keşifte polis araç ve servislerinin sabah ve akşam saat kaçta o güzergahtan geçtiğini tespit ettik. Bu konuda profesyonel olmadığımız ve yakalanırız endişesiyle eylemden vazgeçtik. Örgütten Ankara'daki Yüksek Hızlı Tren'i vurma talimatı geldi. Aynı operasyonda yakalandığımız F.Y. eylem için bana bin lira para verdi. Saldırıyı başarıyla yapabilseydik örgüt bize her türlü desteği vereceği vaadinde bulunmuştu"