Chainalysis cho biết một nhóm ví bị nghi liên quan đến vụ tấn công THORChain đã chuyển tiền qua Monero, Hyperliquid và THORChain trong nhiều tuần trước khi xảy ra sự cố.
Các ví này được ghi nhận nạp tiền vào vị thế Hyperliquid qua các cầu riêng tư của Hyperliquid và Monero từ cuối tháng 4, sau đó đổi sang USDC, chuyển sang Arbitrum rồi bridge sang Ethereum. Một phần ETH tiếp tục được đưa vào THORChain để stake RUNE cho một node mới, được cho là nguồn phát sinh vụ tấn công.
Theo chuỗi giao dịch được mô tả, nhóm ví sau đó đưa một phần kết nối RUNE ngược về Ethereum và tách thành bốn nhánh. Một nhánh đi thẳng tới các ví của nhóm tấn công, còn một nhánh khác chuyển 8 ETH tới ví sẽ nhận tiền bị đánh cắp, diễn ra 43 phút trước thời điểm tấn công.
Ba nhánh còn lại đi theo hướng ngược lại. Từ ngày 14 đến 15/5, các ví này tiếp tục bridge ETH về Arbitrum, nạp vào Hyperliquid rồi chuyển sang Monero qua cùng cầu riêng tư. Giao dịch cuối cùng được ghi nhận chưa đầy 5 giờ trước khi vụ tấn công bắt đầu.
Tính đến chiều thứ Sáu, số tiền bị đánh cắp vẫn chưa bị động tới. Chainalysis cho rằng nhóm này có khả năng rửa tiền xuyên chuỗi khá phức tạp, và đường đi Hyperliquid sang Monero có thể là bước tiếp theo.
