Fast 20 Millionen XRP wurden aus 6.678 Wallets über sechs Angriffswellen zwischen dem 15. Sept. und dem 20. Sept. abgezogen.

Anschließend wurden über THORChain mehr als 5,6 Millionen XRP bewegt. Die Transaktionen waren gültig signiert, doch Ermittler wissen bis heute nicht, wie die Angreifer an die Keys gelangten.