ผู้ก่อเหตุโจมตี THORChain แสดงให้เห็นการฟอกเงินข้ามสายโซ่อย่างซับซ้อน โดยดำเนินการเป็นเวลาหลายสัปดาห์ ขณะที่ Chainalysis ติดตามร่องรอย

ตามรายงานของ Chainalysis เมื่อวันที่ 16 พฤษภาคม ผู้โจมตี THORChain ที่น่าสงสัยได้โอนเงินผ่าน Monero, Hyperliquid และ THORChain ติดต่อกันเป็นเวลาหลายสัปดาห์ก่อนลงมือโจมตี กระเป๋าเงินที่เชื่อมโยงกับผู้โจมตีได้ฝากเงินผ่าน Hyperliquid และสะพานเชิงความเป็นส่วนตัวในช่วงปลายเดือนเมษายน จากนั้นแปลงสินทรัพย์เป็น USDC ส่งต่อผ่าน Arbitrum ไปยัง Ethereum แล้วจึงนำ RUNE ไปสเตกบน THORChain ในฐานะโหนดใหม่ที่ถูกระบุว่าเป็นแหล่งที่มาของการโจมตี เงินที่ถูกขโมยส่วนหนึ่งต่อมาถูกส่งต่อผ่านหลายเครือข่าย โดยโอน 8 ETH ไปยังกระเป๋ารับปลายทางเพียง 43 นาทีก่อนเกิดการโจมตี

ตั้งแต่วันที่ 14–15 พฤษภาคม ผู้โจมตีได้สะพัง ETH กลับมายัง Arbitrum ฝากเข้า Hyperliquid และเคลื่อนย้ายผ่านสะพานความเป็นส่วนตัวไปยัง Monero โดยธุรกรรมสุดท้ายเกิดขึ้นน้อยกว่าห้าชั่วโมงก่อนการโจมตี เมื่อถึงวันศุกร์ เงินที่ถูกขโมยมียังไม่ได้ถูกใช้งาน แต่ผู้โจมตีได้แสดงความชำนาญในการฟอกเงินข้ามเชน โดยเส้นทาง Hyperliquid-to-Monero มีแนวโน้มว่าจะเป็นขั้นตอนถัดไป