Mutmaßliche nordkoreanische Hacker transferierten etwa 1,46 Millionen US-Dollar über Jupiter Lend und Circles Cross-Chain-Bridge. Jupiter erklärte, die Herkunft der Gelder lasse sich weiterhin zurückverfolgen. ChainCatcher zufolge sagte der On-Chain-Analyst @FabianoSolana, die Gelder seien zunächst aus einer vom FBI markierten Solana-Wallet abgeflossen, deren Adresse mit AffzFD beginnt. Über Zwischen-Wallets seien sie an etwa 35 temporäre Adressen weitergeleitet, dann zusammengeführt und bei Jupiter Lend eingezahlt worden. Minuten später hob eine neue Wallet einen ähnlichen Betrag ab.

Anschließend wurden die Gelder in USDC umgewandelt und über Circles Cross-Chain-Bridge von Solana transferiert. Dabei liefen sie über Noble und dYdX, bevor sie an eine neue Solana-Adresse zurückkehrten. In 16 Transaktionen wurden etwa 1,4634 Millionen US-Dollar abgezogen und anschließend in 19 Transaktionen zurücktransferiert; die Beträge wichen um etwa 10 US-Dollar voneinander ab. Der Analyst sagte, die Gelder seien nicht eingefroren worden.

Jupiters Chief Operating Officer Kash Dhanda sagte, die bisherigen Ermittlungsergebnisse zeigten, dass der Angreifer über Jupiter Lend lediglich Gelder eingezahlt und abgehoben habe. Anders als beim früheren Aave-Vorfall, bei dem gestohlene Stablecoins dazu verwendet wurden, Vermögenswerte zu leihen, die nicht eingefroren werden konnten, seien die Geldbewegungen über LP-Token weiterhin vollständig nachverfolgbar, sagte Dhanda. Der Angreifer habe Jupiter Lend daher nicht genutzt, um die Herkunft der Gelder zu verschleiern, und Jupiters Sicherheitsteam überwache die Geldflüsse in Echtzeit. Circle hatte sich bis zum Zeitpunkt der Veröffentlichung nicht öffentlich zu der Überweisung oder dazu geäußert, warum die Gelder nicht eingefroren wurden.