Kuinka FBI jäljitti ja takavarikoi 560 000 dollaria kryptovaluuttaa Hamasin verkostolta

Jaetut gas-lompakot paljastavat laajemman verkoston

Liittovaltion tutkijat rakensivat takavarikkotapaukset yhdistämällä lohkoketjutapahtumat lahjoitusosoitteisiin, jotka saatiin varainkeruusivustoilta, salatuista viesteistä ja ihmislähteistä. Kolme kryptovaluuttatakavarikkoa tapahtuivat maaliskuussa, kesäkuussa ja lokakuussa 2025, kun taas laajempi 560 000 dollarin valvontaoperaatio sisälsi myös kaksi verkko-infrastruktuuriin kohdistunutta toimenpidettä vuonna 2026.

Kiertävät lahjoitusosoitteet eivät estäneet agentteja löytämästä yhteyksiä näennäisesti erillisten tapahtumien välillä. Chainalysisin 3. syyskuuta julkaistun tutkintaselostuksen mukaan useat Hamasin sotilaalliseen siipeen, Al Qassam -prikaateihin, linkittyneet osoitteet tukeutuivat samaan gas-lompakkoon maksaakseen lohkoketjun transaktiomaksut. Gas-lompakko tarjoaa verkon tokeneita, joita tarvitaan siirtojen toteuttamiseen, ja toistuva rahoitus samasta osoitteesta muodostaa kytkentäpisteen muuten erillisten lompakoiden välille.

FBI:n agentit käyttivät Reactor-ohjelmistoa, lohkoketjututkintatyökalua, joka analysoi kryptovaluuttatapahtumia ja visualisoi yhteyksiä lompakoiden ja palveluiden välillä, havainnollistaakseen kryptovaluutan saapumista lahjoituslompakkoon ennen siirtymistä operatiiviseen lompakkoon. Kaavio asetti yksittäiset lahjoittajat keräysosoitteen ympärille ja jäljitti sitä seuranneen siirron infrastruktuuriin, jota väitetysti hallitsivat Al Qassam -prikaatit. Samat gas-lompakkoyhteydet esiintyivät valaehtoisissa lausunnoissa, jotka tukivat maaliskuun, kesäkuun ja lokakuun 2025 takavarikkotoimia.

Jäljitys laajeni osoitteista välikäsiin

Tutkijat laajensivat alkuperäistä tapahtumapolkua kesäkuun 2025 tapauksessa seuraamalla varoja äskettäin tunnistettujen osoitteiden ja tilien kautta. Analyysi paljasti, miten kryptovaluuttaa kerättiin lahjoituslompakoista, siirrettiin operatiivisten tilien kautta ja koottiin ennen kuin se päätyi ulkoisiin palveluihin. Yhden tilin uskottiin liittyvän Libanonissa toimivaan OTC-välittäjään, kun taas toinen osoitti toimintaa, joka vastasi rahamuulin toimintaa.

Chainalysisin mukaan Hamas muutti transaktiomenetelmiään ensimmäisen takavarikon jälkeen. Lokakuuhun 2025 mennessä verkosto hyödynsi kertakäyttöisiä lahjoituslompakoita ja siltoja, jotka siirtävät kryptovaluuttaa lohkoketjusta toiseen. Agentit jatkoivat varojen seuraamista näiden palveluiden yli, ja 10. lokakuuta 2025 annettu kolmas takavarikkovaltuutus kattoi tutkinnan aikana tunnistetut varat.

Osoitteen tai lohkoketjun vaihtaminen muutti reittiä poistamatta aiempaa tapahtumahistoriaa. Julkisen lohkoketjutoiminnan pysyvä luonne mahdollisti analyytikoille aiempien siirtojen uudelleentarkastelun, tapahtumamallien vertailun ja myöhemmän toiminnan yhdistämisen aiemmissa tapauksissa löydettyyn infrastruktuuriin. Osoiteanalyysi voitiin sitten yhdistää pörsseiltä, välittäjiltä, viestintäalustoilta ja muista lähteistä saatuihin tietoihin.

Toistuvat lompakkoroolit säilyttävät rahoituskuvion

Vaikka yksittäiset osoitteet muuttuivat, Chainalysis totesi verkoston jatkaneen samankaltaisten tehtävien jakamista lompakoilleen. Lahjoituslompakot vastaanottivat panokset, gas-lompakot rahoittivat transaktiomaksut, operatiiviset lompakot siirsivät varat ja koontiosoitteet keräsivät kryptovaluuttaa useista lähteistä. Toistuva rakenne tarjosi tutkijoille käyttäytymismalleja, jotka pysyivät näkyvissä, kun uudet osoitteet korvasivat vanhoja. Vastaava analyysi Operation Lighthouse -tiedustelusprintin aikana muutti lohkoketjuosoitteet ja palveludatan tutkintavihjeiksi.

Verkosto jatkoi myös vuorovaikutusta OTC-välittäjien ja kryptovaluuttapörssien kanssa. Nämä palvelut loivat tutkinnallisia päätepisteitä, joissa lohkoketjuosoitteet voitiin yhdistää asiakastileihin, tapahtumatietoihin tai säilyttäjän hallussa oleviin varoihin. Erillisessä terrorismin rahoitustapauksessa Tether jäädytti ja laski uudelleen liikkeeseen noin 1,6 miljoonaa USDT:tä sen jälkeen, kun viranomaiset tunnistivat niihin liittyvät lompakot. Jäljitysprosessi tunnisti kryptovaluutan reitin ja sijainnin, mutta tuomioistuimen lupa vaadittiin ennen kuin agentit saattoivat ottaa sen hallintaansa.

Tuomioistuimen määräykset muuttavat lohkoketjutiedustelun takavarikoiksi

Lohkoketjujäljitys tunnisti, minne varat kulkivat, kun taas tuomioistuimen myöntämät takavarikkovaltuutukset antoivat tarvittavan toimivallan ottaa haltuun saavutettavissa olevat varat. Oikeusministeriön 1. syyskuuta julkaistun tiedotteen yhteydessä julkaistu kesäkuun 2025 valtuutus määräsi Tetherin polttamaan tietyissä osoitteissa pidetyn USDT:n ja laskemaan vastaavan määrän uudelleen liikkeeseen lainvalvonnan hallitsemalle lompakolle. Binancea ohjeistettiin siirtämään kolmen nimetyn tilin saldot FBI:n hallitsemiin lompakoihin.

Ensimmäinen toimenpide oli jo osoittanut, miten lahjoitusosoitteet syöttivät laajempaa keräysjärjestelmää. Maaliskuun 2025 takavarikko, joka koski noin 200 000 dollaria, seurasi varoja vähintään 17 kiertävästä osoitteesta keskitettyyn lompakkoon ja edelleen pörssien ja välittäjien kautta. Tästä jäljestä kehitetty tiedustelutieto tarjosi uusia lähtöpisteitä kesäkuun ja lokakuun tutkintoihin.

Chainalysis kuvasi, miten kertyneet lompakkosuhteet laajensivat tutkinnan lopulta rahansiirtojen ulkopuolelle. Aiemmista tapauksista saadut havainnot auttoivat agentteja tunnistamaan verkkotunnuksia ja palvelimia, joiden väitettiin liittyvän Al Qassam -prikaatien pääasialliseen verkkosivustoon. Tämän infrastruktuurin takavarikointi heinä- ja elokuussa 2026 mahdollisti FBI:lle kryptolahjoitusten sieppaamisen niiden pyytämisen yhteydessä.