4月开始布局节点、攻击前40分钟精准转账8 ETH当gas，这操作节奏感不像即兴，更像排练好的演出。资金现在趴着不动，是在等风声过去还是等下一个出口？

Chainalysis称 THORChain 被盗钱包数周通过 Monero、Hyperliquid 与 THORChain 转移，4月经隐私桥入金Hyperliquid头寸，后转USDC至Arbitrum再桥Ethereum，部分ETH入THORChain成新节点RUNE。攻击者将RUNE分四路回以太坊，一路直达并在攻击前约40分钟向最终钱包转8 ETH，其他三路资金反向流动经Hyperliquid/Monero回到Monero。截至周五资金尚未动用，但已展现跨链洗钱能力，Hyperliquid到Monero路径或成下一步。