Agentes de la Guardia Civil desactivaron poco después de las 14.00 horas del 2 de abril de 2004, tres semanas después de los atentados del 11M, una bomba colocada junto a las vías del AVE que comunica Madrid y Sevilla en el punto kilométrico 61,250, a la altura del término municipal de Mocejón. El paquete, envuelto en dos bolsas de dos conocidos supermercados, «se trataba de un artefacto real de iniciación eléctrica», explica el auto de procesamiento de la causa abierta por el macroatentado, aunque «no se encontró dispositivo de activación alguna», una circunstancia que los investigadores achacaron a la «longitud del cableado recuperado» que hubiera permitido la activición del artefacto de «haber conectado los cables a una fuente de alimentación en el momento deseado para la explosión de la carga».

Un operario de Renfe advirtió la presencia sospechosa de un bulto junto a la vía de tren y comunicó el hallazgo a la Guardia Civil. El tráfico ferroviario entre las capitales española y andaluza quedó suspendido. El convoy que se dirigía hacia Sevilla quedó retenido en torno al punto kilométrico 55 del itinerario; por su parte, el tren que marchaba hacia Madrid fue estacionado a la altura de Mora. 

El artefacto no fue activado y en la investigación se establecieron tres hipótesis al respecto: la posibilidad de que los autores se creyeran descubiertos y abandonaran el lugar; que el artefacto hubiera sido preparado para efectuar su activación con posterioridad y fue encontrado antes; o que diferentes razones de tipo técnico, relacionadas con posibles cortocircuitos o falta de intesidad, lo hubieran impedido.

«Habían apartado las piedras y estaba metido en un plástico», relató un agente del Instituto Armado. 

El explosivo empleaba doce kilos de dinamita Goma 2 ECO, la misma sustancia que utilizaron ocho yihadistas refugiados en un piso de la localidad madrileña de Leganés para inmolarse durante la tarde del sábado 3 de abril, el día después del suceso en Mocejón. La explosión, de gran envergadura, causó la muerte de un agente del grupo especial de operaciones de la Policía Nacional que trataba de asaltar la guarida de los terroristas. La Goma 2 ECO había sido sustraída de manera irregular de la asturiana mina Conchita. El perfil genético del terrorista Asrih Rifaat, inmolado en Leganés, impregnó el envoltorio de la bomba de Mocejón, lo que le convirtió en uno de los autores del hecho.

Por su parte, el terrorista Serhane Ben Abdelmajid, también suicidado en el piso de Leganés, fue el autor de un mensaje enviado por fax a un diario madrileño en la tarde del 3 de abril, mientras la célula islamista permanecía atrincherada. «Pusimos explosivos en las vías de tren de alta velocidad cerca de Toledo (...) pudimos hacer explotar los trenes que pasaban por allí durante la tarde del jueves pasado y por las mañanas del viernes, pero no lo hicimos», aseguraban, al tiempo que apuntaban como propósito «avisaros e informaros que somos capaces» de causar más daño. El documento insistía en la intención del grupo de seguir perpretando acciones terroristas. 

EL RASTRO TOLEDANO. Los yihadistas que se inmolaron en Leganés buscaron información sobre la toledana sinagoga del Tránsito, el espacio sobre el que se erige el Museo Sefardí. Entre los efectos hallados en el desescombro del piso detonado se encontró un dispositivo USB que registró sendos rastreos en internet relacionados con Toledo. Además del antiguo lugar de culto de los judíos, los islamistas consultaron una página web relativa al vínculo entre la ciudad y las tres culturas. Las dos búsquedas se produjeron en la tarde del 26 de marzo, según el auto de procesamiento elaborado por el juez Juan del Olmo. 

Asimismo, los teléfonos móviles de cuatro terroristas, tres de ellos inmolados en Leganés y otro condenado por pertenencia a banda armada, estuvieron ubicados en la localidad de Bargas durante la tarde del 7 de marzo, apenas cuatro días antes de los atentados.

Por su parte, el sirio Basel Ghalyoun fue arrestado en Ugena el 24 de marzo. Condenado por la Audiencia Nacional, fue absuelto por el Tribunal Supremo. En la misma operación, fue capturado Fouad El Morabit, condenado por pertenencia a organización terrorista. Además, el 6 de abril fue detenido en Illescas un presunto terrorista que residía en Madrid relacionado con los hechos.