<div dir="ltr"><div class="gmail_extra"><div class="gmail_signature">tl;dr: they cracked MD5 digests instead. The MD5 version was downcased. Once recovering the downcased password, they recovered the case sensitive version by brute forcing all possible case variants against the bcrypt digests.</div>
</div></div>