Mulai menata node pada bulan April, melakukan transfer tepat 40 menit sebelum serangan sebanyak 8 ETH sebagai gas, ritme operasi ini tidak seperti improvisasi, lebih seperti pertunjukan yang sudah latihan. Dana saat ini diam saja, apakah sedang menunggu angin berlalu atau menunggu pintu keluar berikutnya?

Chainalysis menyatakan bahwa dompet yang dicuri dari THORChain selama berminggu-minggu dipindahkan melalui Monero, Hyperliquid, dan THORChain, pada bulan April masuk ke posisi Hyperliquid melalui jembatan privasi, kemudian mentransfer USDC ke Arbitrum dan selanjutnya menjembatani ke Ethereum, sebagian ETH masuk ke THORChain menjadi node baru RUNE. Penyerang membagi RUNE menjadi empat jalur kembali ke Ethereum, satu jalur langsung mengirim 8 ETH ke dompet akhir sekitar 40 menit sebelum serangan, sementara tiga jalur lainnya mengalir balik melalui Hyperliquid/Monero kembali ke Monero. Hingga Jumat, dana tersebut belum digunakan, tetapi telah menunjukkan kemampuan pencucian uang lintas rantai, jalur Hyperliquid ke Monero mungkin menjadi langkah berikutnya.