Wie das FBI 560.000 US-Dollar in Krypto aus dem Netzwerk der Hamas nachverfolgte und beschlagnahmte

Gemeinsam genutzte Gas-Wallets legen ein größeres Netzwerk offen

Bundesermittler bauten die Beschlagnahmefälle auf, indem sie Blockchain-Transaktionen mit Spendenadressen verknüpften, die sie von Fundraising-Websites, aus verschlüsselter Kommunikation und von menschlichen Quellen erhalten hatten. Die drei Kryptowährungs-Beschlagnahmen erfolgten im März, Juni und Oktober 2025, während die umfassendere Durchsetzungsoperation über 560.000 US-Dollar 2026 zudem zwei Maßnahmen gegen Online-Infrastruktur umfasste.

Rotierende Spendenadressen hinderten die Agenten nicht daran, Verbindungen zwischen scheinbar getrennten Transaktionen zu finden. Laut Chainalysis’ Darstellung der Ermittlungen vom 3. September nutzten zahlreiche Adressen, die mit dem militärischen Flügel der Hamas, den Al-Qassam-Brigaden, in Verbindung standen, dieselbe Gas-Wallet, um Blockchain-Transaktionsgebühren zu bezahlen. Eine Gas-Wallet stellt die Netzwerktoken bereit, die zur Ausführung von Transfers benötigt werden, wodurch wiederholte Finanzierung von derselben Adresse zu einem Verbindungspunkt zwischen ansonsten getrennten Wallets wird.

FBI-Agenten nutzten Reactor, eine Software für Blockchain-Ermittlungen, die Kryptowährungstransaktionen analysiert und Verbindungen zwischen Wallets und Diensten visualisiert, um den Zufluss von Kryptowährung in eine Spenden-Wallet darzustellen, bevor sie in eine operative Wallet weitergeleitet wurde. Der Graph platzierte einzelne Spender um die Sammeladresse herum und verfolgte den anschließenden Transfer zu Infrastruktur, die angeblich von den Al-Qassam-Brigaden kontrolliert wurde. Dieselben Gas-Wallet-Verbindungen tauchten in eidesstattlichen Erklärungen auf, die die Beschlagnahmeaktionen im März, Juni und Oktober 2025 stützten.

Die Nachverfolgung wurde von Adressen auf Intermediäre ausgeweitet

Ermittler erweiterten die ursprüngliche Transaktionsspur im Fall vom Juni 2025, indem sie Gelder über neu identifizierte Adressen und Konten verfolgten. Die Analyse zeigte, wie Kryptowährung aus Spenden-Wallets gesammelt, über operative Konten bewegt und konsolidiert wurde, bevor sie externe Dienste erreichte. Ein Konto wurde vermutlich mit einem im Libanon ansässigen außerbörslichen Broker in Verbindung gebracht, während ein anderes Aktivitäten zeigte, die mit einem Geldkurier (Money Mule) übereinstimmten.

Laut Chainalysis änderte die Hamas nach der ersten Beschlagnahme ihre Transaktionsmethoden. Bis Oktober 2025 setzte das Netzwerk Einweg-Spenden-Wallets und Bridges ein, die Kryptowährung von einer Blockchain auf eine andere übertragen. Die Agenten verfolgten die Gelder weiterhin über diese Dienste hinweg, und ein dritter Beschlagnahmebeschluss vom 10. Oktober 2025 umfasste Vermögenswerte, die während der Ermittlungen identifiziert wurden.

Das Ändern einer Adresse oder Blockchain veränderte den Weg, ohne die frühere Transaktionshistorie zu löschen. Die dauerhafte Natur öffentlicher Blockchain-Aktivitäten ermöglichte es Analysten, frühere Transfers erneut zu prüfen, Transaktionsmuster zu vergleichen und spätere Aktivitäten mit Infrastruktur zu verknüpfen, die in früheren Fällen gefunden wurde. Die Adressanalyse konnte anschließend mit Aufzeichnungen von Börsen, Brokern, Kommunikationsplattformen und anderen Quellen kombiniert werden.

Wiederkehrende Wallet-Rollen erhalten das finanzielle Muster

Obwohl sich einzelne Adressen änderten, stellte Chainalysis fest, dass das Netzwerk seinen Wallets weiterhin ähnliche Funktionen zuwies. Spenden-Wallets nahmen Beiträge entgegen, Gas-Wallets finanzierten Transaktionsgebühren, operative Wallets bewegten die Vermögenswerte, und Konsolidierungsadressen sammelten Kryptowährung aus mehreren Quellen. Die wiederkehrende Struktur lieferte den Ermittlern Verhaltensmuster, die sichtbar blieben, während neue Adressen ältere ersetzten. Eine vergleichbare Analyse im Rahmen des Operation-Lighthouse-Intelligence-Sprints verwandelte Blockchain-Adressen und Servicedaten in Ermittlungsansätze.

Das Netzwerk interagierte außerdem weiterhin mit außerbörslichen Brokern und Kryptowährungsbörsen. Diese Dienste schufen Ermittlungsendpunkte, an denen Blockchain-Adressen mit Kundenkonten, Transaktionsaufzeichnungen oder von einem Verwahrer gehaltenen Vermögenswerten verknüpft werden konnten. In einem separaten Fall der Terrorismusfinanzierung fror Tether etwa 1,6 Millionen USDT ein und gab sie erneut aus, nachdem die Behörden die zugehörigen Wallets identifiziert hatten. Der Nachverfolgungsprozess identifizierte Route und Aufenthaltsort der Kryptowährung, doch bevor Agenten die Kontrolle darüber übernehmen konnten, war eine gerichtliche Genehmigung erforderlich.

Gerichtsbeschlüsse verwandeln Blockchain-Intelligence in Beschlagnahmen

Die Blockchain-Nachverfolgung identifizierte, wohin die Gelder flossen, während gerichtlich erlassene Beschlagnahmebeschlüsse die erforderliche Autorität lieferten, um die Kontrolle über zugängliche Vermögenswerte zu übernehmen. Ein im Juni 2025 erlassener Beschluss, der zusammen mit der Offenlegung des Justizministeriums vom 1. September veröffentlicht wurde, wies Tether an, USDT, die an bestimmten Adressen gehalten wurden, zu vernichten (burn) und einen gleichwertigen Betrag an eine von Strafverfolgungsbehörden kontrollierte Wallet neu auszugeben. Binance wurde angewiesen, Guthaben von drei namentlich genannten Konten in FBI-kontrollierte Wallets zu übertragen.

Die erste Maßnahme hatte bereits aufgezeigt, wie Spendenadressen ein breiteres Sammelsystem speisten. Die Beschlagnahme vom März 2025 über etwa 200.000 US-Dollar verfolgte Gelder von mindestens 17 rotierenden Adressen in eine zentralisierte Wallet und anschließend über Börsen und Broker. Die aus dieser Spur gewonnenen Erkenntnisse lieferten neue Ausgangspunkte für die Ermittlungen im Juni und Oktober.

Chainalysis erläuterte, wie die angesammelten Wallet-Beziehungen die Ermittlungen schließlich über reine Geldtransfers hinaus ausweiteten. Erkenntnisse aus den früheren Fällen halfen den Agenten, Domains und Server zu identifizieren, die angeblich mit der Hauptwebsite der Al-Qassam-Brigaden verbunden waren. Die Beschlagnahme dieser Infrastruktur im Juli und August 2026 ermöglichte es dem FBI, Kryptowährungs-Spenden direkt an ihrem Anforderungspunkt abzufangen.