De beweging kwam donderdag op gang en versnelde in de nacht naar zaterdag. Volgens onderzoeker Elliptic staat nog ongeveer 148 miljoen XRP stil op drie adressen.
De aanvallers gebruiken ondertussen steeds meer adressen en verschillende cryptomunten om het spoor ingewikkelder te maken.
In twee dagen verdwijnt 86 miljoen XRP
Bij de hack van Binance op 29 oktober maakten de aanvallers 233 miljoen XRP buit.
Die munten bleven eerst vrijwel volledig stilstaan. Op 2 november werd de buit verdeeld over zes nieuwe adressen.
Vanaf donderdagmiddag begonnen twee van die adressen de munten verder te verspreiden. Uit de analyse van Elliptic blijkt dat vrijdagochtend ongeveer 42 miljoen XRP was verplaatst. In de nacht naar zaterdag kwam daar nog circa 44 miljoen XRP bij.
De munten gingen naar tientallen nieuwe adressen. Een groot deel werd via THORChain omgezet in bitcoin. Met deze dienst kunnen gebruikers munten van verschillende blockchains rechtstreeks tegen elkaar ruilen, zonder eerst naar een gewone cryptobeurs te gaan.
Na deze twee nachten bleef ongeveer 148 miljoen XRP achter op drie van de zes adressen. Die adressen zijn sinds 2 november niet gebruikt.
Hackers maken het spoor ingewikkelder
De aanvallers verdelen de buit over steeds meer adressen en wisselen tussen verschillende cryptomunten en blockchains.
Daardoor moeten onderzoekers veel meer transacties volgen om te zien waar het geld terechtkomt. Elliptic telt bij de volledige witwasroute inmiddels meer dan 20.000 wallets en minstens 65.000 transacties.
Ook het nieuw verkregen bitcoin wordt verder verspreid. In de nacht naar zaterdag ging ongeveer 53 bitcoin door zogeheten coinjoins. Daarbij worden transacties van meerdere gebruikers samengevoegd, waardoor de herkomst van afzonderlijke munten moeilijker te volgen is.
Het omwisselen betekent nog niet dat de hackers de buit in gewoon geld hebben verzilverd. Elliptic ziet tot nu toe slechts een verwaarloosbaar bedrag dat vermoedelijk echt is uitbetaald.
De FBI schrijft de aanval toe aan de Noord-Koreaanse groep TraderTraitor. De grootste gestolen bitcoin- en ethereumvoorraden staan nog altijd stil.