THORChain-Angreifer führte über Wochen eine ausgeklügelte grenzübergreifende Geldwäsche vor, Chainalysis verfolgt die Spuren

Laut Chainalysis hat der mutmaßliche THORChain-Angreifer am 16. Mai mehrere Wochen lang Gelder über Monero, Hyperliquid und THORChain verschoben, bevor er den Angriff ausführte. Die angreifergebundene Wallet hinterlegte Gelder Ende April über Hyperliquid und Privacy-Bridges, konvertierte Assets in USDC, bridgte sie über Arbitrum zu Ethereum und stakte dann RUNE auf THORChain als neuer Knoten, der als Angriffsort identifiziert wurde. Ein Teil der gestohlenen Mittel wurde anschließend über mehrere Ketten weitergeleitet, wobei 8 ETH an die endgültige Empfänger-Wallet nur 43 Minuten vor dem Angriff übertragen wurden.

Vom 14. bis 15. Mai hat der Angreifer ETH zurück zu Arbitrum gebridget, in Hyperliquid eingezahlt und sich über Privacy-Bridges zu Monero bewegt, wobei die finale Transaktion weniger als fünf Stunden vor dem Angriff erfolgte. Stand Freitag sind die gestohlenen Gelder noch ungenutzt, aber der Angreifer hat seine Routine beim Cross-Chain-Laundering unter Beweis gestellt: Der Hyperliquid-zu-Monero-Pfad dürfte der nächste Schritt sein.