Svmuu訊 Chainalysis 在 X 平台發文表示，THORChain 被盜之前，疑似攻擊者相關錢包已連續數週通過 Monero、Hyperliquid 和 THORChain 轉移資金，攻擊者關聯錢包早在四月底時就通過 Hyperliquid 和 Monero 隱私橋入金 Hyperliquid 頭寸，隨後資金被兑換為 USDC 並轉至 Arbitrum，再橋接至以太坊，部分 ETH 隨後轉至 THORChain 成為新加入的節點質押 RUNE，該節點被認為是攻擊源。
之後，攻擊者將部分 RUNE 橋接回以太坊並拆分為四條鏈路，其中一條直通攻擊者，經過中間錢包轉移後，在攻擊前 43 分鐘向最終接收被盜資金的錢包轉入 8 ETH，其他三條鏈路資金則反向流動。5 月 14 日至 15 日，這些錢包再次將 ETH 橋接回 Arbitrum，存入 Hyperliquid，通過相同隱私橋轉入 Monero，最後一筆交易發生在攻擊開始前不足 5 小時。截至本週五下午，被盜資金暫未動用，但攻擊者已展示其嫻熟的跨鏈洗錢能力，Hyperliquid 到 Monero 路徑可能成為下一步動作。