כיצד ה-FBI איתר והחרים 560 אלף דולר בקריפטו מרשת חמאס

ארנקי גז משותפים חושפים רשת רחבה יותר

חוקרים פדרליים בנו את תיקי התפיסה באמצעות קישור בין עסקאות בלוקצ’יין לבין כתובות תרומה שהושגו מאתרי גיוס תרומות, תקשורת מוצפנת ומקורות אנושיים. שלוש תפיסות הקריפטו התרחשו במרץ, ביוני ובאוקטובר 2025, בעוד שמבצע האכיפה הרחב יותר בהיקף 560,000 דולר כלל גם שתי פעולות נגד תשתיות מקוונות בשנת 2026.

כתובות תרומה מתחלפות לא מנעו מהסוכנים למצוא קשרים בין עסקאות שנראו לכאורה נפרדות. לפי הדיווח של Chainalysis מ-3 בספטמבר על החקירה, כתובות רבות המקושרות לזרוע הצבאית של חמאס, גדודי אל-קסאם, הסתמכו על אותו ארנק גז כדי לשלם עמלות עסקה בבלוקצ’יין. ארנק גז מספק את טוקני הרשת הנדרשים לביצוע העברות, מה שהופך מימון חוזר מאותה כתובת לנקודת חיבור בין ארנקים שנראים אחרת נפרדים.

סוכני ה-FBI השתמשו ב-Reactor, תוכנת חקירות בלוקצ’יין שמנתחת עסקאות קריפטו ומדמיינת קשרים בין ארנקים ושירותים, כדי להמחיש כניסת קריפטו לארנק תרומות לפני מעברו לארנק תפעולי. הגרף הציב תורמים בודדים סביב כתובת האיסוף והתחקה אחר ההעברה העוקבת לתשתית שלכאורה נשלטת בידי גדודי אל-קסאם. אותם קשרים של ארנק גז הופיעו בתצהירים שתמכו בפעולות התפיסה של מרץ, יוני ואוקטובר 2025.

המעקב התרחב מכתובות אל מתווכים

החוקרים הרחיבו את מסלול העסקאות המקורי במהלך תיק יוני 2025 באמצעות מעקב אחר הכספים דרך כתובות וחשבונות שזוהו מחדש. הניתוח חשף כיצד נאספו מטבעות קריפטוגרפיים מארנקי תרומה, הועברו דרך חשבונות תפעוליים, ואוגדו לפני שהגיעו לשירותים חיצוניים. חשבון אחד נחשב למקושר לברוקר OTC (מסחר מעבר לדלפק) שמבוסס בלבנון, בעוד אחר הציג פעילות התואמת שימוש ב”פרד כספים” (money mule).

לפי Chainalysis, חמאס שינה את שיטות העסקה שלו לאחר התפיסה הראשונית. עד אוקטובר 2025, הרשת השתמשה בארנקי תרומה חד-פעמיים ובגשרים, שמעבירים מטבעות קריפטוגרפיים מבלוקצ’יין אחד לאחר. הסוכנים המשיכו לעקוב אחר הכספים דרך השירותים הללו, וצווי תפיסה שלישי שהוצא ב-10 באוקטובר 2025 כלל נכסים שזוהו במהלך החקירה.

שינוי כתובת או בלוקצ’יין שינה את המסלול מבלי למחוק את רישום העסקה הקודם. האופי הקבוע של פעילות בלוקצ’יין ציבורית אפשר לאנליסטים לשוב להעברות קודמות, להשוות דפוסי עסקאות ולקשר פעילות מאוחרת יותר לתשתיות שנמצאו בתיקים קודמים. לאחר מכן ניתן היה לשלב ניתוח כתובות עם רשומות מבורסות, ברוקרים, פלטפורמות תקשורת ומקורות נוספים.

תפקידים חוזרים של ארנקים משמרים את הדפוס הפיננסי

למרות שכתובות בודדות השתנו, Chainalysis ציינה שהרשת המשיכה להקצות לארנקים שלה פונקציות דומות. ארנקי תרומה קיבלו תרומות, ארנקי גז מימנו את עמלות העסקה, ארנקים תפעוליים הזיזו את הנכסים, וכתובות איגוד אספו מטבעות קריפטוגרפיים ממקורות רבים. המבנה החוזר סיפק לחוקרים דפוסי התנהגות שנותרו גלויים כאשר כתובות חדשות החליפו ישנות. ניתוח דומה במהלך מבצע Lighthouse, ספרינט מודיעיני המיר כתובות בלוקצ’יין ונתוני שירותים ללידים חקירתיים.

הרשת גם המשיכה לקיים אינטראקציה עם ברוקרים OTC ובורסות קריפטו. שירותים אלה יצרו נקודות קצה חקירתיות שבהן ניתן היה לקשר כתובות בלוקצ’יין לחשבונות לקוחות, לרישומי עסקאות או לנכסים המוחזקים אצל נאמן (custodian). בתיק נפרד של מימון טרור, Tether הקפיאה והנפיקה מחדש כ-1.6 מיליון דולר ב-USDT לאחר שהרשויות זיהו את הארנקים הקשורים. תהליך המעקב זיהה את המסלול והמיקום של הקריפטו, אך נדרשה הרשאה משפטית לפני שהסוכנים יכלו להשתלט עליו.

צווי בית משפט ממירים מודיעין בלוקצ’יין לתפיסות

מעקב בלוקצ’יין זיהה לאן הכספים נסעו, בעוד שצווי תפיסה שהוצאו על ידי בית המשפט סיפקו את הסמכות הנדרשת כדי להשתלט על נכסים נגישים. צו מיוני 2025 שפורסם יחד עם החשיפה של משרד המשפטים מ-1 בספטמבר הורה ל-Tether לשרוף USDT שהוחזק בכתובות שצוינו ולהנפיק מחדש סכום שקול לארנק הנשלט בידי רשויות אכיפת החוק. Binance הונחתה להעביר יתרות משלושה חשבונות נקובים אל ארנקים הנשלטים בידי ה-FBI.

הפעולה הראשונה כבר ביססה כיצד כתובות תרומה הזינו מערכת איסוף רחבה יותר. תפיסת מרץ 2025 בהיקף של כ-200,000 דולר עקבה אחר הכספים מלפחות 17 כתובות מתחלפות אל ארנק מרכזי והלאה דרך בורסות וברוקרים. מודיעין שהתפתח מן המסלול הזה סיפק נקודות פתיחה חדשות לחקירות יוני ואוקטובר.

Chainalysis פירטה כיצד מערכות היחסים המצטברות בין הארנקים הרחיבו בסופו של דבר את החקירה מעבר להעברות כספים. ממצאים מן התיקים הקודמים סייעו לסוכנים לזהות דומיינים ושרתים שלכאורה קשורים לאתר הראשי של גדודי אל-קסאם. תפיסת התשתית הזו ביולי ובאוגוסט 2026 אפשרה ל-FBI ליירט תרומות קריפטו בנקודת השידול שלהן.