مأموران افبیآی با ترکیب تحلیلهای بلاکچین، اطلاعات انسانی و دستورهای قضایی توانستند بیش از ۵۶۰٬۰۰۰ دلار رمزارز را که برای حماس در نظر گرفته شده بود، ردیابی و ضبط کنند. این عملیات مسیر وجوه را از طریق کیفپولهای مشترک، پلهای بینزنجیرهای، صرافیها و حسابهای استیبلکوین دنبال کرد.
چگونه افبیآی ۵۶۰ هزار دلار رمزارز را از شبکه حماس ردیابی و توقیف کرد
نویسنده
اشتراک
نکات کلیدی
- کیفپولهای گَسِ مشترک، آدرسهای چرخشی را به شبکهای گستردهتر متصل کردند.
- یک حکمِ ضبط، شرکتهای رمزارزی را ملزم کرد داراییهای هدف را منتقل کنند.
- یافتههای قبلی به مأموران کمک کرد کیفپولها و زیرساختهای جدید را دنبال کنند.
کیفپولهای گَسِ مشترک شبکهای گستردهتر را آشکار میکنند
محققان فدرال با پیوند دادن تراکنشهای بلاکچینی به آدرسهای دریافت کمک که از وبسایتهای جمعآوری کمک مالی، ارتباطات رمزگذاریشده و منابع انسانی بهدست آمده بود، پروندههای ضبط را ساختند. سه مورد ضبط رمزارز در مارس، ژوئن و اکتبر ۲۰۲۵ رخ داد، در حالی که عملیات اجرایی ۵۶۰٬۰۰۰ دلاری گستردهتر همچنین شامل دو اقدام علیه زیرساخت آنلاین در سال ۲۰۲۶ بود.
چرخش آدرسهای دریافت کمک مانع از آن نشد که مأموران بین تراکنشهایی که ظاهراً جدا از هم بودند ارتباط پیدا کنند. بنا بر گزارش ۳ سپتامبر چینآنالیس از این تحقیق، شمار زیادی از آدرسهای مرتبط با شاخه نظامی حماس، گردانهای القسام، برای پرداخت کارمزدهای تراکنشهای بلاکچینی به همان کیفپول گَس متکی بودند. کیفپول گَس توکنهای شبکه لازم برای اجرای انتقالها را تأمین میکند و تأمین مالیِ مکرر از یک آدرس واحد، نقطه اتصال میان کیفپولهایی است که در غیر این صورت جدا از هم به نظر میرسند.
مأموران افبیآی از Reactor، نرمافزار تحقیقات بلاکچینی که تراکنشهای رمزارزی را تحلیل کرده و ارتباط میان کیفپولها و سرویسها را مصورسازی میکند، استفاده کردند تا ورود رمزارز به یک کیفپول دریافت کمک و سپس انتقال آن به یک کیفپول عملیاتی را نمایش دهند. این نمودار، اهداکنندگان منفرد را پیرامون آدرس جمعآوری قرار داد و انتقال بعدی را به زیرساختی که ادعا میشود تحت کنترل گردانهای القسام بوده، ردیابی کرد. همین ارتباطهای کیفپول گَس در سوگندنامههایی که از اقدامات ضبطِ مارس، ژوئن و اکتبر ۲۰۲۵ پشتیبانی میکردند نیز دیده شد.
ردیابی از آدرسها به واسطهها گسترش یافت
محققان در پرونده ژوئن ۲۰۲۵ با دنبال کردن وجوه از طریق آدرسها و حسابهای تازهشناساییشده، مسیر تراکنش اولیه را گسترش دادند. این تحلیل نشان داد رمزارز چگونه از کیفپولهای دریافت کمک جمعآوری میشد، از طریق حسابهای عملیاتی جابهجا میگردید و پیش از رسیدن به سرویسهای بیرونی تجمیع میشد. تصور میشد یک حساب با یک کارگزار خارج از بورس (OTC) مستقر در لبنان مرتبط باشد، در حالی که حساب دیگری فعالیتی سازگار با یک «قاطر پول» (money mule) نشان میداد.
به گفته چینآنالیس، حماس پس از ضبط اولیه روشهای تراکنشی خود را تغییر داد. تا اکتبر ۲۰۲۵، این شبکه از کیفپولهای دریافت کمکِ یکبارمصرف و پلها استفاده میکرد؛ پلها رمزارز را از یک بلاکچین به بلاکچین دیگر منتقل میکنند. مأموران به دنبال کردن وجوه در میان آن سرویسها ادامه دادند و سومین حکم ضبط که در ۱۰ اکتبر ۲۰۲۵ صادر شد، داراییهایی را که در جریان تحقیق شناسایی شده بود پوشش میداد.
تغییر یک آدرس یا بلاکچین مسیر را عوض میکرد، بدون آنکه سابقه تراکنشهای قبلی را پاک کند. ماهیت دائمی فعالیت عمومی بلاکچین به تحلیلگران امکان داد انتقالهای پیشین را دوباره بررسی کنند، الگوهای تراکنش را مقایسه کنند و فعالیتهای بعدی را به زیرساختی که در پروندههای قبلی پیدا شده بود وصل کنند. سپس تحلیل آدرسها میتوانست با سوابق صرافیها، کارگزاران، پلتفرمهای ارتباطی و منابع دیگر ترکیب شود.
نقشهای تکرارشونده کیفپولها الگوی مالی را حفظ میکند
هرچند آدرسهای منفرد تغییر میکردند، چینآنالیس اشاره کرد که شبکه همچنان کارکردهای مشابهی را به کیفپولهایش اختصاص میداد. کیفپولهای دریافت کمک، مشارکتها را میگرفتند؛ کیفپولهای گَس، کارمزدهای تراکنش را تأمین میکردند؛ کیفپولهای عملیاتی، داراییها را جابهجا میکردند؛ و آدرسهای تجمیع، رمزارز را از چندین منبع گرد میآوردند. این ساختار تکرارشونده به محققان الگوهای رفتاریای داد که حتی با جایگزینی آدرسهای جدید بهجای قدیمیها نیز قابل مشاهده میماند. تحلیل مشابه در اسپرینت اطلاعاتی عملیات Lighthouse آدرسهای بلاکچینی و دادههای سرویسها را به سرنخهای تحقیقاتی تبدیل کرد.
این شبکه همچنین به تعامل با کارگزاران خارج از بورس و صرافیهای رمزارزی ادامه داد. آن سرویسها نقاط پایانی تحقیقاتی ایجاد کردند که در آن آدرسهای بلاکچینی میتوانستند به حسابهای مشتریان، سوابق تراکنش یا داراییهای نگهداریشده نزد یک متولی مرتبط شوند. در یک پرونده جداگانه تأمین مالی تروریسم، تتر پس از شناسایی کیفپولهای مرتبط توسط مقامات، حدود ۱.۶ میلیون دلار USDT را مسدود و دوباره منتشر کرد. فرایند ردیابی مسیر و مکان رمزارز را مشخص میکرد، اما پیش از آنکه مأموران بتوانند کنترل آن را به دست بگیرند، مجوز قضایی لازم بود.
دستورهای قضایی اطلاعات بلاکچینی را به ضبط تبدیل میکنند
ردیابی بلاکچین مشخص میکرد وجوه از کجا عبور کرده است، در حالی که احکام ضبطِ صادرشده از سوی دادگاه اختیار لازم برای بهدست گرفتن کنترل داراییهای قابل دسترس را فراهم میکرد. یک حکم ژوئن ۲۰۲۵ که همراه با افشای ۱ سپتامبر وزارت دادگستری منتشر شد، به تتر دستور داد USDT نگهداریشده در آدرسهای مشخص را بسوزاند و مقدار معادلی را به یک کیفپول تحت کنترل مجریان قانون دوباره صادر کند. به بایننس دستور داده شد موجودیها را از سه حسابِ نامبرده به کیفپولهای تحت کنترل افبیآی منتقل کند.
اقدام نخست پیشتر نشان داده بود آدرسهای دریافت کمک چگونه به یک سیستم جمعآوری گستردهتر تغذیه میکنند. ضبط مارس ۲۰۲۵ که حدود ۲۰۰٬۰۰۰ دلار را دربر میگرفت وجوه را از دستکم ۱۷ آدرس چرخشی به یک کیفپول متمرکز و سپس از طریق صرافیها و کارگزاران دنبال کرد. اطلاعاتی که از آن مسیر توسعه یافت، نقطههای آغاز جدیدی برای تحقیقات ژوئن و اکتبر فراهم کرد.
چینآنالیس توضیح داد که چگونه روابط انباشته میان کیفپولها در نهایت تحقیق را فراتر از انتقال وجوه گسترش داد. یافتههای پروندههای قبلی به مأموران کمک کرد دامنهها و سرورهایی را که ادعا میشود به وبسایت اصلی گردانهای القسام مرتبط بوده شناسایی کنند. ضبط آن زیرساخت در ژوئیه و اوت ۲۰۲۶ به افبیآی امکان داد کمکهای رمزارزی را در نقطه درخواست/جمعآوری آنها رهگیری کند.
این مقاله با استفاده از هوش مصنوعی از انگلیسی ترجمه شده است. نسخه اصلی انگلیسی منبع معتبر است؛ ترجمههای خودکار ممکن است حاوی نادرستیهایی باشند، بهویژه در اصطلاحات حقوقی و قانونی.
