Drygt 7900 pund i virtuell valuta har flyttats från adressen Bitcoin som listas i utpressningskravet som dök upp på hackade datorer.
En expert sade att det inte fanns något tvivel om att medlen hade utnyttjats av dem som var ansvariga för brottet.
Och det verkar som om de nu har ställt ett nytt krav på lösensumma.
Analytiker menar dock att flytten är avsedd att förvirra undersökningar i frågan.
I andra relaterade utveckling, Ukrainas inrikesminister har sagt polisen lyckats förhindra en andra våg av attacker genom att stänga ner och konfiskera datorservrar som används av ett lokalt mjukvaruföretag, som tros ha oavsiktligt hjälpt Petya-variant virus att sprida.
Och efter att upprepade gånger ha förnekat någon inblandning i överföringen av malware, utvecklaren Intellect Service har erkänt en uppgradering till dess MeDoc skatteprogram var verkligen "förlamad", vilket tillåter attacken att utföras.
"Från och med idag, varje dator som är på samma lokala nätverk som vår produkt är ett hot," företagets verkställande direktör Olesya Bilousova berättade reportrar.
Hon tillade att en miljon datorer i Ukraina hade MeDoc installerat på dem.
Polisen har rekommenderat att alla slutar använda programmet och stänger av datorer som har det.
Även om majoriteten av de upptäckta attackerna inträffade i Ukraina, enligt analys av säkerhetsföretaget Eset malware också drabbade företag över hela världen.
Deras datorer blev otillgängliga efter att koden spreds över deras interna nätverk, vilket gjorde att en del av datorernas operativsystem användes för att lokalisera var filer lagras.
Hög profil skadade inkluderar Nurofen-maker Reckitt Benckiser, Oreo cookie tillverkare Mondelez International, rederikoncernen Maersk och reklambyrån WPP.
Men de flesta av dem som blev slagna betalade inte lösenkravet. Detta var delvis eftersom den e-postadress som ges av angriparna att kontakta dem stängdes av sin tyska operatör.
Och fram till tisdagen låg medlen vilande.
Men klockan 22:32 på tisdagen utlöstes tre överföringar.
Två av dessa skickades till Bitcoin plånböcker som används för att samla in donationer till PasteBin och DeepPaste text-sharing tjänster - plattformar som ofta används av hackare för att tillkännage sina aktiviteter.
Den tredje och största av överföringarna gick till en adress som tidigare varit tom.
Lite senare dök ett inlägg upp på DeepPaste som krävde 100 bitcoins ($256.300; £198.500) för en "privat nyckel för att dekryptera alla hårddiskar" påverkas av attacken.
"Om inte hackarna gav bort Bitcoin konto kopplat till den ursprungliga lösenkrav, bara de kunde ha flyttat pengarna," Prof Alan Woodward från University of Surrey berättade BBC.
"Folk är gobsmacked de har gått någonstans i närheten av det - de kan inte vara dum nog att försöka lösa ut det.
"Så vitt vi kan se, det finns inget sätt att faktiskt dekryptera drabbade datorer även om du betalade den nya efterfrågan.
"Så, det kan vara så att de försöker leda ett falskt spår bort från sig själva."
Ukraina har anklagat Ryssland för att vara delaktigt i attacken, men Kreml har förnekat allt ansvar.
Nyhetssajten Moderboard sa att den talade till någon som påstod sig vara en av hackarna på ett mörkt webchattrum.
Den förmodade brottslingen erbjöd sig att visa att de kunde dekryptera alla filer som förvrängdes av Petya-varianten. Men de misslyckades med att uppfylla löftet när de gavs ett exempel att testa.
Förövarna av en it-attack nyligen som störde företag över hela världen verkar ha kommit åt lösensummorna de höjde.