FBI가 하마스 네트워크에서 암호화폐 56만 달러를 추적해 압수한 방법

공유 가스 지갑이 더 광범위한 네트워크를 드러내다

연방 수사관들은 모금 웹사이트, 암호화된 통신, 인적 정보원으로부터 확보한 기부 주소와 블록체인 거래를 연결해 압수 사건을 구축했다. 세 차례의 암호화폐 압수는 2025년 3월, 6월, 10월에 이뤄졌고, 더 큰 규모의 56만 달러 집행 작전에는 2026년에 온라인 인프라를 겨냥한 두 건의 조치도 포함됐다.

기부 주소를 순환시키는 방식은 요원들이 겉보기엔 별개인 거래들 사이의 연결고리를 찾아내는 것을 막지 못했다. Chainalysis의 9월 3일 수사 보고에 따르면, 하마스 군사조직 알카삼 여단(Al Qassam Brigades)과 연계된 다수의 주소는 블록체인 거래 수수료를 지불하기 위해 동일한 가스 지갑에 의존했다. 가스 지갑은 전송을 실행하는 데 필요한 네트워크 토큰을 공급하며, 동일 주소에서 반복적으로 자금이 투입되는 패턴은 서로 분리된 지갑들 사이의 연결 지점이 된다.

FBI 요원들은 암호화폐 거래를 분석하고 지갑과 서비스 간 연결을 시각화하는 블록체인 수사 소프트웨어 Reactor를 사용해, 암호화폐가 기부 지갑으로 유입된 뒤 운영 지갑으로 이동하는 흐름을 시각화했다. 그래프는 개별 기부자들을 모금 주소 주변에 배치하고, 이후 알카삼 여단이 통제하는 것으로 추정되는 인프라로의 전송을 추적했다. 동일한 가스 지갑 연결은 2025년 3월·6월·10월 압수 조치를 뒷받침하는 진술서(affidavit)에도 등장했다.

추적 범위가 주소에서 중개자들로 확대되다

수사관들은 2025년 6월 사건에서 새롭게 식별된 주소와 계정을 거쳐 자금을 추적하면서 초기 거래 경로를 확장했다. 분석 결과, 암호화폐가 기부 지갑에서 모인 뒤 운영 계정을 거쳐 이동하고, 외부 서비스로 전달되기 전 통합되는 방식이 드러났다. 한 계정은 레바논 기반 장외(OTC) 브로커와 연관된 것으로 추정됐고, 다른 계정은 머니 뮬(money mule)에 부합하는 활동을 보였다.

Chainalysis에 따르면, 하마스는 초기 압수 이후 거래 방식도 변경했다. 2025년 10월 무렵에는 네트워크가 일회용 기부 지갑과 브리지를 사용했는데, 브리지는 한 블록체인에서 다른 블록체인으로 암호화폐를 전송하는 서비스다. 요원들은 이러한 서비스를 넘어 자금 흐름을 계속 추적했으며, 2025년 10월 10일 발부된 세 번째 압수 영장은 수사 과정에서 식별된 자산을 포함했다.

주소나 블록체인을 바꾸는 것은 경로를 바꿀 뿐, 과거 거래 기록을 지우지는 못한다. 공개 블록체인 활동의 영구성 덕분에 분석가들은 이전 전송을 다시 검토하고 거래 패턴을 비교해, 이후 활동을 과거 사건에서 발견된 인프라와 연결할 수 있었다. 또한 주소 분석은 거래소, 브로커, 통신 플랫폼 및 기타 출처의 기록과 결합될 수 있었다.

반복되는 지갑 역할이 금융 패턴을 유지하다

개별 주소는 바뀌었지만, Chainalysis는 네트워크가 지갑에 유사한 기능을 계속 부여했다고 지적했다. 기부 지갑은 기부금을 받았고, 가스 지갑은 거래 수수료를 위한 자금을 제공했으며, 운영 지갑은 자산을 이동시켰고, 통합 주소는 여러 출처의 암호화폐를 모았다. 이러한 반복 구조는 새로운 주소가 기존 주소를 대체하더라도 수사관들이 계속 관찰할 수 있는 행동 패턴을 제공했다. Operation Lighthouse 인텔리전스 스프린트에서의 유사한 분석은 블록체인 주소와 서비스 데이터를 수사 단서로 전환했다.

이 네트워크는 장외(OTC) 브로커 및 암호화폐 거래소와의 상호작용도 계속했다. 이러한 서비스는 블록체인 주소를 고객 계정, 거래 기록, 또는 수탁기관이 보관 중인 자산과 연결할 수 있는 수사상의 종착점(endpoint)을 만들어냈다. 별도의 테러 자금 조달 사건에서는 당국이 연관 지갑을 확인한 뒤 Tether가 약 160만 달러 상당의 USDT를 동결하고 재발행했다. 추적 과정은 암호화폐의 경로와 위치를 식별했지만, 요원들이 이를 통제하기 위해서는 법원의 승인이 필요했다.

법원 명령이 블록체인 인텔리전스를 압수로 전환하다

블록체인 추적은 자금이 어디로 이동했는지를 밝혀냈고, 법원이 발부한 압수 영장은 접근 가능한 자산을 통제하는 데 필요한 권한을 제공했다. 법무부의 9월 1일 공개와 함께 게재된 2025년 6월 영장은 Tether에 특정 주소에 보관된 USDT를 소각(burn)하고, 동일한 규모의 금액을 법 집행기관이 통제하는 지갑으로 재발행하라고 지시했다. Binance에는 명시된 3개 계정의 잔액을 FBI 통제 지갑으로 이전하라는 지시가 내려졌다.

첫 번째 조치는 기부 주소들이 더 넓은 수금 시스템으로 흘러드는 방식이 이미 확립돼 있음을 보여줬다. 2025년 3월 약 20만 달러가 관련된 압수에서는 최소 17개의 순환 주소에서 중앙화된 지갑으로 자금이 모인 뒤, 거래소와 브로커를 통해 이동하는 흐름을 추적했다. 그 경로에서 축적된 정보는 6월 및 10월 수사의 새로운 출발점을 제공했다.

Chainalysis는 축적된 지갑 간 관계가 결국 수사를 자금 이체를 넘어 확장시켰다고 자세히 설명했다. 이전 사건의 결과는 요원들이 알카삼 여단의 주요 웹사이트와 연관된 것으로 추정되는 도메인과 서버를 식별하는 데 도움이 됐다. 2026년 7월과 8월에 해당 인프라를 압수함으로써 FBI는 암호화폐 기부가 요청되는 지점에서 이를 가로챌 수 있었다.