À partir d'avril, ils ont commencé à déployer des nœuds, et 40 minutes avant l'attaque, ils ont effectué un transfert précis de 8 ETH comme gas, cette cadence ne ressemble pas à de l'improvisation, mais plutôt à une performance bien répétée. Les fonds restent immobiles pour l'instant, attendent-ils que le vent passe ou le prochain point de sortie ?

Chainalysis affirme que le portefeuille volé de THORChain a transféré des fonds pendant plusieurs semaines via Monero, Hyperliquid et THORChain, en avril, des dépôts via un pont privé dans Hyperliquid, puis transférés en USDC vers Arbitrum, puis bridés vers Ethereum, une partie de l'ETH étant convertie en RUNE pour devenir un nouveau nœud.
L'attaquant a divisé RUNE en quatre routes vers Ethereum, dont une a atteint directement le portefeuille final en transférant 8 ETH environ 40 minutes avant l'attaque, les trois autres flux de fonds circulant en sens inverse via Hyperliquid/Monero pour revenir à Monero.
Jusqu'à vendredi, les fonds n'ont pas encore été utilisés, mais cela démontre une capacité de blanchiment inter-chaînes, le chemin Hyperliquid vers Monero pourrait être la prochaine étape.