Cómo el FBI rastreó y confiscó 560.000 dólares en criptomonedas de la red de Hamás

Las billeteras de gas compartidas exponen una red más amplia

Los investigadores federales construyeron los casos de incautación conectando transacciones en la blockchain con direcciones de donación obtenidas de sitios web de recaudación, comunicaciones cifradas y fuentes humanas. Las tres incautaciones de criptomonedas ocurrieron en marzo, junio y octubre de 2025, mientras que la operación de cumplimiento más amplia de 560.000 dólares también incluyó dos acciones contra infraestructura en línea en 2026.

Las direcciones de donación rotativas no impidieron que los agentes encontraran conexiones entre transacciones aparentemente separadas. Según el relato de Chainalysis del 3 de septiembre sobre la investigación, numerosas direcciones vinculadas al ala militar de Hamás, las Brigadas Al Qassam, dependían de la misma billetera de gas para pagar las comisiones de transacción en la blockchain. Una billetera de gas suministra los tokens de la red necesarios para ejecutar transferencias, lo que hace que la financiación repetida desde la misma dirección sea un punto de conexión entre billeteras que, de otro modo, estarían separadas.

Los agentes del FBI utilizaron Reactor, un software de investigaciones de blockchain que analiza transacciones de criptomonedas y visualiza conexiones entre billeteras y servicios, para visualizar criptomonedas entrando en una billetera de donación antes de pasar a una billetera operativa. El gráfico situó a donantes individuales alrededor de la dirección de recaudación y rastreó la transferencia posterior a infraestructura presuntamente controlada por las Brigadas Al Qassam. Las mismas conexiones de billetera de gas aparecieron en declaraciones juradas que respaldaban las acciones de incautación de marzo, junio y octubre de 2025.

El rastreo se amplió de direcciones a intermediarios

Los investigadores extendieron el rastro original de transacciones durante el caso de junio de 2025 siguiendo los fondos a través de direcciones y cuentas recientemente identificadas. El análisis reveló cómo se reunían criptomonedas desde billeteras de donación, se movían a través de cuentas operativas y se consolidaban antes de llegar a servicios externos. Se creía que una cuenta estaba asociada con un bróker extrabursátil con sede en el Líbano, mientras que otra mostraba actividad consistente con la de un testaferro (money mule).

Hamás cambió sus métodos de transacción después de la incautación inicial, según Chainalysis. Para octubre de 2025, la red estaba empleando billeteras de donación de un solo uso y puentes, que transfieren criptomonedas de una blockchain a otra. Los agentes continuaron siguiendo los fondos a través de esos servicios, y una tercera orden de incautación emitida el 10 de octubre de 2025 cubrió activos identificados durante la investigación.

Cambiar una dirección o una blockchain alteró la ruta sin borrar el registro anterior de transacciones. La naturaleza permanente de la actividad pública en la blockchain permitió a los analistas revisar transferencias previas, comparar patrones de transacción y conectar actividad posterior con infraestructura hallada durante casos anteriores. El análisis de direcciones podía combinarse entonces con registros de exchanges, brókers, plataformas de comunicaciones y otras fuentes.

Los roles recurrentes de las billeteras preservan el patrón financiero

Aunque cambiaron las direcciones individuales, Chainalysis señaló que la red continuó asignando funciones similares a sus billeteras. Las billeteras de donación recibían contribuciones, las billeteras de gas financiaban las comisiones de transacción, las billeteras operativas movían los activos y las direcciones de consolidación reunían criptomonedas de múltiples fuentes. La estructura recurrente proporcionó a los investigadores patrones de comportamiento que permanecieron visibles a medida que nuevas direcciones reemplazaban a las antiguas. Un análisis comparable durante el sprint de inteligencia de la Operación Lighthouse convirtió direcciones de blockchain y datos de servicios en pistas de investigación.

La red también continuó interactuando con brókers extrabursátiles y exchanges de criptomonedas. Esos servicios crearon puntos finales de investigación donde las direcciones de blockchain podían conectarse con cuentas de clientes, registros de transacciones o activos mantenidos por un custodio. En un caso separado de financiamiento del terrorismo, Tether congeló y reemitió aproximadamente 1,6 millones de dólares en USDT después de que las autoridades identificaran las billeteras asociadas. El proceso de rastreo identificó la ruta y la ubicación de las criptomonedas, pero se requirió autorización judicial antes de que los agentes pudieran tomar control de ellas.

Las órdenes judiciales convierten la inteligencia de blockchain en incautaciones

El rastreo en la blockchain identificó por dónde viajaron los fondos, mientras que las órdenes de incautación emitidas por tribunales proporcionaron la autoridad necesaria para tomar control de activos accesibles. Una orden de junio de 2025 publicada junto con la divulgación del Departamento de Justicia del 1 de septiembre ordenó a Tether quemar USDT mantenidos en direcciones especificadas y reemitir una cantidad equivalente a una billetera controlada por las fuerzas del orden. Se instruyó a Binance a transferir los saldos de tres cuentas nombradas a billeteras controladas por el FBI.

La primera acción ya había establecido cómo las direcciones de donación alimentaban un sistema de recaudación más amplio. La incautación de marzo de 2025 de aproximadamente 200.000 dólares siguió fondos desde al menos 17 direcciones rotativas hacia una billetera centralizada y luego a través de exchanges y brókers. La inteligencia desarrollada a partir de ese rastro proporcionó nuevos puntos de partida para las investigaciones de junio y octubre.

Chainalysis detalló cómo las relaciones acumuladas entre billeteras finalmente extendieron la investigación más allá de las transferencias de fondos. Hallazgos de los casos anteriores ayudaron a los agentes a identificar dominios y servidores presuntamente conectados al sitio web principal de las Brigadas Al Qassam. La incautación de esa infraestructura en julio y agosto de 2026 permitió al FBI interceptar donaciones en criptomonedas en su punto de solicitud.