Come l’FBI ha rintracciato e sequestrato 560.000 dollari in criptovalute dalla rete di Hamas

I Wallet Gas Condivisi Rivelano una Rete Più Ampia

Gli investigatori federali hanno costruito i casi di sequestro collegando le transazioni sulla blockchain con indirizzi di donazione ottenuti da siti di raccolta fondi, comunicazioni cifrate e fonti umane. I tre sequestri di criptovalute sono avvenuti a marzo, giugno e ottobre 2025, mentre la più ampia operazione di enforcement da 560.000 dollari ha incluso anche due azioni contro infrastrutture online nel 2026.

Gli indirizzi di donazione a rotazione non hanno impedito agli agenti di trovare collegamenti tra transazioni apparentemente separate. Secondo il resoconto di Chainalysis del 3 settembre sull’indagine, numerosi indirizzi collegati all’ala militare di Hamas, le Brigate Al Qassam, dipendevano dallo stesso wallet gas per pagare le commissioni di transazione sulla blockchain. Un wallet gas fornisce i token di rete necessari per eseguire i trasferimenti, rendendo i finanziamenti ripetuti dallo stesso indirizzo un punto di collegamento tra wallet altrimenti separati.

Gli agenti dell’FBI hanno utilizzato Reactor, un software per indagini blockchain che analizza le transazioni in criptovaluta e visualizza i collegamenti tra wallet e servizi, per visualizzare l’ingresso di criptovaluta in un wallet di donazione prima del passaggio a un wallet operativo. Il grafico collocava i singoli donatori attorno all’indirizzo di raccolta e tracciava il successivo trasferimento verso infrastrutture presumibilmente controllate dalle Brigate Al Qassam. Le stesse connessioni del wallet gas comparivano nelle dichiarazioni giurate a supporto delle azioni di sequestro di marzo, giugno e ottobre 2025.

Il Tracciamento si è Esteso dagli Indirizzi agli Intermediari

Gli investigatori hanno esteso il tracciato originale delle transazioni durante il caso di giugno 2025 seguendo i fondi attraverso indirizzi e conti identificati di recente. L’analisi ha rivelato come la criptovaluta venisse raccolta dai wallet di donazione, spostata attraverso conti operativi e consolidata prima di raggiungere servizi esterni. Si riteneva che un conto fosse associato a un broker OTC con sede in Libano, mentre un altro mostrava un’attività coerente con quella di un prestanome (money mule).

Hamas ha cambiato i propri metodi di transazione dopo il sequestro iniziale, secondo Chainalysis. Entro ottobre 2025, la rete impiegava wallet di donazione monouso e bridge, che trasferiscono criptovaluta da una blockchain a un’altra. Gli agenti hanno continuato a seguire i fondi attraverso questi servizi e un terzo mandato di sequestro emesso il 10 ottobre 2025 ha coperto gli asset identificati durante l’indagine.

Cambiare un indirizzo o una blockchain modificava il percorso senza cancellare il precedente registro delle transazioni. La natura permanente dell’attività sulle blockchain pubbliche ha permesso agli analisti di riesaminare trasferimenti precedenti, confrontare gli schemi di transazione e collegare l’attività successiva con infrastrutture individuate nei casi precedenti. L’analisi degli indirizzi poteva poi essere combinata con i registri di exchange, broker, piattaforme di comunicazione e altre fonti.

Ruoli Ricorrenti dei Wallet Mantengono lo Schema Finanziario

Sebbene i singoli indirizzi cambiassero, Chainalysis ha osservato che la rete ha continuato ad assegnare funzioni simili ai propri wallet. I wallet di donazione ricevevano i contributi, i wallet gas finanziavano le commissioni di transazione, i wallet operativi spostavano gli asset e gli indirizzi di consolidamento raccoglievano criptovaluta da più fonti. La struttura ricorrente ha fornito agli investigatori schemi comportamentali che sono rimasti visibili mentre nuovi indirizzi sostituivano quelli più vecchi. Un’analisi comparabile durante lo sprint di intelligence dell’Operazione Lighthouse ha trasformato indirizzi blockchain e dati sui servizi in piste investigative.

La rete ha anche continuato a interagire con broker OTC ed exchange di criptovalute. Questi servizi hanno creato punti terminali investigativi in cui gli indirizzi blockchain potevano essere collegati a conti clienti, registri delle transazioni o asset detenuti da un custode. In un caso separato di finanziamento del terrorismo, Tether ha congelato e riemesso circa 1,6 milioni di USDT dopo che le autorità hanno identificato i wallet associati. Il processo di tracciamento ha identificato il percorso e la posizione della criptovaluta, ma era necessaria l’autorizzazione del tribunale prima che gli agenti potessero prenderne il controllo.

Gli Ordini del Tribunale Trasformano l’Intelligence Blockchain in Sequestri

Il tracciamento sulla blockchain ha identificato dove viaggiavano i fondi, mentre i mandati di sequestro emessi dal tribunale hanno fornito l’autorità necessaria per prendere il controllo degli asset accessibili. Un mandato di giugno 2025 pubblicato con la comunicazione del Dipartimento di Giustizia del 1° settembre ordinava a Tether di bruciare gli USDT detenuti agli indirizzi specificati e di riemettere un importo equivalente su un wallet controllato dalle forze dell’ordine. A Binance è stato ordinato di trasferire i saldi di tre conti nominati in wallet controllati dall’FBI.

La prima azione aveva già stabilito come gli indirizzi di donazione alimentassero un più ampio sistema di raccolta. Il sequestro di marzo 2025 di circa 200.000 dollari ha seguito i fondi da almeno 17 indirizzi a rotazione verso un wallet centralizzato e poi attraverso exchange e broker. L’intelligence sviluppata da quel tracciato ha fornito nuovi punti di partenza per le indagini di giugno e ottobre.

Chainalysis ha dettagliato come le relazioni accumulate tra wallet abbiano infine esteso l’indagine oltre i trasferimenti di fondi. I riscontri dei casi precedenti hanno aiutato gli agenti a identificare domini e server presumibilmente collegati al sito web principale delle Brigate Al Qassam. Il sequestro di tale infrastruttura a luglio e agosto 2026 ha consentito all’FBI di intercettare le donazioni in criptovaluta nel punto in cui venivano sollecitate.