A partir de abril, comenzaron a configurar nodos, y 40 minutos antes del ataque realizaron transferencias precisas de 8 ETH como gas; este ritmo de operación no parece improvisado, sino más bien una actuación ensayada. El dinero ahora está quieto, ¿está esperando que pase el rumor o esperando la próxima salida?

Chainalysis afirma que las carteras robadas de THORChain se transfirieron durante semanas a través de Monero, Hyperliquid y THORChain, en abril ingresaron fondos a Hyperliquid mediante un puente de privacidad, luego transfirieron USDC a Arbitrum y posteriormente puenteando a Ethereum, parte de ETH ingresó a THORChain formando un nuevo nodo RUNE.
El atacante dividió RUNE en cuatro rutas hacia Ethereum, una de ellas llegó directamente y aproximadamente 40 minutos antes del ataque transfirió 8 ETH a la cartera final, las otras tres rutas de fondos fluyeron en sentido inverso a través de Hyperliquid/Monero de regreso a Monero.
Hasta el viernes, los fondos no habían sido movidos, pero ya demostraron capacidad de lavado de dinero entre cadenas, la ruta de Hyperliquid a Monero podría ser el próximo paso.