Comment le FBI a retracé et saisi 560 000 $ en crypto provenant du réseau du Hamas

Des portefeuilles de gas partagés révèlent un réseau plus vaste

Les enquêteurs fédéraux ont constitué les dossiers de saisie en reliant des transactions sur la blockchain à des adresses de dons obtenues via des sites de collecte de fonds, des communications chiffrées et des sources humaines. Les trois saisies de cryptomonnaies ont eu lieu en mars, juin et octobre 2025, tandis que l’opération répressive de 560 000 $ plus large a également inclus deux actions contre une infrastructure en ligne en 2026.

Les adresses de dons rotatives n’ont pas empêché les agents de trouver des connexions entre des transactions apparemment distinctes. Selon le compte rendu de Chainalysis du 3 septembre sur l’enquête, de nombreuses adresses liées à la branche militaire du Hamas, les Brigades Al Qassam, dépendaient du même portefeuille de gas pour payer les frais de transaction sur la blockchain. Un portefeuille de gas fournit les jetons du réseau nécessaires pour exécuter les transferts, faisant de financements répétés depuis la même adresse un point de connexion entre des portefeuilles autrement distincts.

Les agents du FBI ont utilisé Reactor, un logiciel d’enquêtes blockchain qui analyse les transactions en cryptomonnaies et visualise les connexions entre portefeuilles et services, pour visualiser l’entrée de cryptomonnaies dans un portefeuille de dons avant leur transfert vers un portefeuille opérationnel. Le graphique plaçait les donateurs individuels autour de l’adresse de collecte et retraçait le transfert ultérieur vers une infrastructure prétendument contrôlée par les Brigades Al Qassam. Les mêmes connexions via des portefeuilles de gas sont apparues dans des affidavits étayant les actions de saisie de mars, juin et octobre 2025.

Le traçage s’est étendu des adresses aux intermédiaires

Les enquêteurs ont prolongé la piste des transactions d’origine lors de l’affaire de juin 2025 en suivant les fonds à travers des adresses et des comptes nouvellement identifiés. L’analyse a révélé comment la cryptomonnaie était collectée depuis des portefeuilles de dons, déplacée via des comptes opérationnels, puis consolidée avant d’atteindre des services externes. Un compte aurait été associé à un courtier de gré à gré basé au Liban, tandis qu’un autre présentait une activité compatible avec celle d’un prête-nom (money mule).

Le Hamas a modifié ses méthodes de transaction après la première saisie, selon Chainalysis. En octobre 2025, le réseau employait des portefeuilles de dons à usage unique et des bridges, qui transfèrent des cryptomonnaies d’une blockchain à une autre. Les agents ont continué à suivre les fonds à travers ces services, et un troisième mandat de saisie délivré le 10 octobre 2025 couvrait des actifs identifiés au cours de l’enquête.

Changer d’adresse ou de blockchain modifiait l’itinéraire sans effacer l’historique des transactions antérieures. Le caractère permanent de l’activité sur les blockchains publiques a permis aux analystes de revenir sur des transferts précédents, de comparer des schémas de transaction et de relier des activités ultérieures à une infrastructure découverte lors d’affaires antérieures. L’analyse des adresses pouvait ensuite être combinée avec des enregistrements provenant des plateformes d’échange, des courtiers, des plateformes de communication et d’autres sources.

Des rôles de portefeuilles récurrents préservent le schéma financier

Bien que les adresses individuelles aient changé, Chainalysis a noté que le réseau continuait d’attribuer des fonctions similaires à ses portefeuilles. Les portefeuilles de dons recevaient les contributions, les portefeuilles de gas finançaient les frais de transaction, les portefeuilles opérationnels déplaçaient les actifs et des adresses de consolidation rassemblaient les cryptomonnaies provenant de multiples sources. Cette structure récurrente a fourni aux enquêteurs des schémas comportementaux qui restaient visibles à mesure que de nouvelles adresses remplaçaient les anciennes. Une analyse comparable durant l’sprint de renseignement de l’opération Lighthouse a transformé des adresses blockchain et des données de services en pistes d’enquête.

Le réseau a également continué d’interagir avec des courtiers de gré à gré et des plateformes d’échange de cryptomonnaies. Ces services ont créé des points d’aboutissement pour l’enquête, où des adresses blockchain pouvaient être reliées à des comptes clients, des relevés de transactions ou des actifs détenus par un dépositaire. Dans une affaire distincte de financement du terrorisme, Tether a gelé et réémis environ 1,6 million de dollars en USDT après que les autorités ont identifié les portefeuilles associés. Le processus de traçage a identifié l’itinéraire et l’emplacement de la cryptomonnaie, mais une autorisation judiciaire était nécessaire avant que les agents ne puissent en prendre le contrôle.

Les ordonnances judiciaires transforment le renseignement blockchain en saisies

Le traçage sur la blockchain a identifié où les fonds ont circulé, tandis que des mandats de saisie délivrés par le tribunal ont fourni l’autorité nécessaire pour prendre le contrôle des actifs accessibles. Un mandat de juin 2025 publié avec la divulgation du 1er septembre du ministère de la Justice a ordonné à Tether de brûler les USDT détenus aux adresses spécifiées et d’en réémettre un montant équivalent vers un portefeuille contrôlé par les forces de l’ordre. Binance a été sommé de transférer les soldes de trois comptes nommés vers des portefeuilles contrôlés par le FBI.

La première action avait déjà établi comment des adresses de dons alimentaient un système de collecte plus vaste. La saisie de mars 2025 portant sur environ 200 000 $ a suivi des fonds depuis au moins 17 adresses rotatives vers un portefeuille centralisé, puis à travers des plateformes d’échange et des courtiers. Le renseignement élaboré à partir de cette piste a fourni de nouveaux points de départ pour les enquêtes de juin et d’octobre.

Chainalysis a détaillé comment l’accumulation de relations entre portefeuilles a fini par étendre l’enquête au-delà des transferts de fonds. Les conclusions des affaires précédentes ont aidé les agents à identifier des domaines et des serveurs prétendument liés au site web principal des Brigades Al Qassam. La saisie de cette infrastructure en juillet et en août 2026 a permis au FBI d’intercepter des dons en cryptomonnaies au point même de leur sollicitation.