SvmuuChainalysisはXプラットフォームへの投稿で、THORChainが盗難に遭う前に、攻撃者とみられる関連ウォレットが数週間にわたりMonero、Hyperliquid、THORChainを介して資金を移動させていたと述べています。攻撃者関連ウォレットは4月末の時点で、HyperliquidとMoneroプライバシーブリッジを介してHyperliquidのポジションに入金していました。その後、資金はUSDCに交換されArbitrumに転送され、さらにイーサリアムにブリッジされました。一部のETHはその後THORChainに転送され、新たに参加したノードとしてRUNEをステークしていました。このノードが攻撃元であると考えられています。
その後、攻撃者は一部のRUNEをイーサリアムにブリッジして戻し、4つのチェーンに分割しました。そのうちの1つは攻撃者に直接つながり、中間ウォレットを経由した後、攻撃の43分前に最終的に盗まれた資金を受け取るウォレットに8ETHを送金しました。他の3つのチェーンの資金は逆方向に流れました。5月14日から15日にかけて、これらのウォレットは再びETHをArbitrumにブリッジして戻し、Hyperliquidに預け入れ、同じプライバシーブリッジを経由してMoneroに送金しました。最後の取引は攻撃開始の5時間足らず前に行われました。今週金曜日の午後現在、盗まれた資金はまだ動かされていませんが、攻撃者はその熟練したクロスチェーン資金洗浄能力を示しており、HyperliquidからMoneroへの経路が次の行動となる可能性があります。