Hvordan FBI sporede og beslaglagde 560.000 dollars i krypto fra Hamas’ netværk

Delte gas-wallets afslører et bredere netværk

Føderale efterforskere opbyggede beslaglæggelsessagerne ved at forbinde blockchain-transaktioner med donationsadresser, der var indhentet fra indsamlingswebsites, krypteret kommunikation og menneskelige kilder. De tre kryptobeslaglæggelser fandt sted i marts, juni og oktober 2025, mens den bredere håndhævelsesoperation på 560.000 dollars også omfattede to indsatser mod onlineinfrastruktur i 2026.

Roterende donationsadresser forhindrede ikke agenterne i at finde forbindelser mellem tilsyneladende adskilte transaktioner. Ifølge Chainalysis’ redegørelse af 3. september for efterforskningen var talrige adresser knyttet til Hamas’ militære fløj, Al Qassam-brigaderne, afhængige af den samme gas-wallet til at betale gebyrer for blockchain-transaktioner. En gas-wallet leverer de netværkstokens, der skal til for at gennemføre overførsler, hvilket gør gentagen finansiering fra den samme adresse til et forbindelsespunkt mellem ellers adskilte wallets.

FBI-agenter brugte Reactor, software til blockchain-efterforskning, der analyserer kryptovaluta-transaktioner og visualiserer forbindelser mellem wallets og tjenester, til at visualisere kryptovaluta, der kom ind i en donations-wallet, før den blev flyttet til en operationel wallet. Grafen placerede de enkelte donorer omkring indsamlingsadressen og sporede den efterfølgende overførsel til infrastruktur, der angiveligt blev kontrolleret af Al Qassam-brigaderne. De samme gas-wallet-forbindelser fremgik af erklæringer til støtte for beslaglæggelserne i marts, juni og oktober 2025.

Sporingen blev udvidet fra adresser til mellemled

Efterforskerne udvidede det oprindelige transaktionsspor under sagen i juni 2025 ved at følge midler gennem nyidentificerede adresser og konti. Analysen afslørede, hvordan kryptovaluta blev indsamlet fra donations-wallets, flyttet gennem operationelle konti og konsolideret, før den nåede eksterne tjenester. Én konto blev antaget at være forbundet med en Libanon-baseret over-the-counter-mægler, mens en anden udviste aktivitet, der var i tråd med en stråmand.

Hamas ændrede sine transaktionsmetoder efter den indledende beslaglæggelse, ifølge Chainalysis. I oktober 2025 anvendte netværket single-use donations-wallets og broer, der overfører kryptovaluta fra én blockchain til en anden. Agenter fortsatte med at følge midlerne på tværs af disse tjenester, og en tredje beslaglæggelseskendelse udstedt den 10. oktober 2025 omfattede aktiver, der blev identificeret under efterforskningen.

At ændre en adresse eller blockchain ændrede ruten uden at slette den tidligere transaktionshistorik. Den permanente karakter af offentlig blockchain-aktivitet gjorde det muligt for analytikere at genbesøge tidligere overførsler, sammenligne transaktionsmønstre og forbinde senere aktivitet med infrastruktur, der blev fundet under tidligere sager. Adresseanalyse kunne derefter kombineres med oplysninger fra børser, mæglere, kommunikationsplatforme og andre kilder.

Tilbagevendende wallet-roller bevarer det finansielle mønster

Selvom de enkelte adresser ændrede sig, bemærkede Chainalysis, at netværket fortsatte med at tildele sine wallets tilsvarende funktioner. Donations-wallets modtog bidrag, gas-wallets finansierede transaktionsgebyrer, operationelle wallets flyttede aktiverne, og konsolideringsadresser samlede kryptovaluta fra flere kilder. Den tilbagevendende struktur gav efterforskerne adfærdsmønstre, der forblev synlige, efterhånden som nye adresser erstattede ældre. Tilsvarende analyse under Operation Lighthouse-efterretningssprintet omsatte blockchain-adresser og servicedata til efterforskningsspor.

Netværket fortsatte også med at interagere med over-the-counter-mæglere og kryptovalutabørser. Disse tjenester skabte efterforskningsendepunkter, hvor blockchain-adresser kunne forbindes med kundekonti, transaktionsregistre eller aktiver, som blev opbevaret hos en depotforvalter. I en separat sag om terrorfinansiering frøs og genudstedte Tether cirka 1,6 millioner dollars i USDT, efter at myndighederne identificerede de tilknyttede wallets. Sporingsprocessen identificerede ruten og placeringen af kryptovalutaen, men der krævedes retslig godkendelse, før agenterne kunne overtage kontrollen over den.

Retskendelser omsætter blockchain-efterretning til beslaglæggelser

Blockchain-sporing identificerede, hvor midlerne bevægede sig hen, mens retsudstedte beslaglæggelseskendelser gav den nødvendige bemyndigelse til at overtage kontrollen over tilgængelige aktiver. En kendelse fra juni 2025, offentliggjort sammen med Justitsministeriets offentliggørelse af 1. september, pålagde Tether at brænde USDT, der blev holdt på specificerede adresser, og genudstede et tilsvarende beløb til en wallet kontrolleret af retshåndhævelsen. Binance blev instrueret i at overføre saldi fra tre navngivne konti til FBI-kontrollerede wallets.

Den første indsats havde allerede fastlagt, hvordan donationsadresser fødte et bredere indsamlingssystem. Beslaglæggelsen i marts 2025 på cirka 200.000 dollars fulgte midler fra mindst 17 roterende adresser ind i en centraliseret wallet og videre gennem børser og mæglere. Efterretninger udviklet fra dette spor gav nye udgangspunkter for efterforskningerne i juni og oktober.

Chainalysis beskrev, hvordan de akkumulerede wallet-relationer til sidst udvidede efterforskningen ud over pengeoverførsler. Fund fra de tidligere sager hjalp agenter med at identificere domæner og servere, der angiveligt var forbundet med Al Qassam-brigadernes hovedwebsite. Beslaglæggelse af denne infrastruktur i juli og august 2026 gjorde det muligt for FBI at opsnappe kryptodonationer ved selve anmodningspunktet.