Hoe de FBI $560K aan crypto opspoorde en in beslag nam uit het netwerk van Hamas

Gedeelde gas-wallets leggen een breder netwerk bloot

Federale onderzoekers bouwden de beslagleggingszaken op door blockchaintransacties te koppelen aan donatieadressen die waren verkregen via fondsenwervingswebsites, versleutelde communicatie en menselijke bronnen. De drie cryptobeslagnames vonden plaats in maart, juni en oktober 2025, terwijl de bredere handhavingsoperatie van $560.000 ook twee acties tegen online-infrastructuur in 2026 omvatte.

Roterende donatieadressen voorkwamen niet dat agenten verbanden vonden tussen ogenschijnlijk afzonderlijke transacties. Volgens Chainalysis’ verslag van 3 september over het onderzoek waren talrijke adressen die gelinkt waren aan de militaire tak van Hamas, de Al Qassam Brigades, afhankelijk van dezelfde gas-wallet om blockchaintransactiekosten te betalen. Een gas-wallet levert de netwerktokens die nodig zijn om transfers uit te voeren, waardoor herhaalde financiering vanaf hetzelfde adres een aanknopingspunt vormt tussen verder losstaande wallets.

FBI-agenten gebruikten Reactor, software voor blockchainonderzoek die cryptotransacties analyseert en verbindingen tussen wallets en diensten visualiseert, om te visualiseren hoe cryptocurrency een donatiewallet binnenkwam voordat deze naar een operationele wallet werd verplaatst. De grafiek plaatste individuele donateurs rond het verzameladres en volgde de daaropvolgende overdracht naar infrastructuur die naar verluidt door de Al Qassam Brigades werd gecontroleerd. Dezelfde gas-walletverbindingen verschenen in beëdigde verklaringen ter ondersteuning van de beslagleggingsacties van maart, juni en oktober 2025.

Tracing breidde zich uit van adressen naar tussenpersonen

Onderzoekers verlengden het oorspronkelijke transactiespoor tijdens de zaak van juni 2025 door geldstromen te volgen via nieuw geïdentificeerde adressen en accounts. De analyse onthulde hoe cryptocurrency werd verzameld uit donatiewallets, verplaatst via operationele accounts en geconsolideerd voordat het bij externe diensten terechtkwam. Eén account werd vermoedelijk geassocieerd met een in Libanon gevestigde over-the-counter broker, terwijl een ander activiteit vertoonde die overeenkwam met die van een geldezel.

Hamas veranderde zijn transactiemethoden na de eerste beslaglegging, aldus Chainalysis. Tegen oktober 2025 gebruikte het netwerk single-use donatiewallets en bridges, die cryptocurrency van de ene blockchain naar de andere overzetten. Agenten bleven de geldstromen door die diensten heen volgen, en een derde beslagleggingsbevel dat op 10 oktober 2025 werd uitgevaardigd, omvatte activa die tijdens het onderzoek waren geïdentificeerd.

Het wijzigen van een adres of blockchain veranderde de route zonder het eerdere transactieregister te verwijderen. De permanente aard van openbare blockchainactiviteit stelde analisten in staat eerdere transfers opnieuw te bekijken, transactiepatronen te vergelijken en latere activiteit te koppelen aan infrastructuur die tijdens eerdere zaken was gevonden. Adresanalyse kon vervolgens worden gecombineerd met gegevens van exchanges, brokers, communicatieplatforms en andere bronnen.

Terugkerende walletrollen behouden het financiële patroon

Hoewel individuele adressen veranderden, merkte Chainalysis op dat het netwerk vergelijkbare functies aan zijn wallets bleef toewijzen. Donatiewallets ontvingen bijdragen, gas-wallets financierden transactiekosten, operationele wallets verplaatsten de activa en consolidatieadressen verzamelden cryptocurrency uit meerdere bronnen. De terugkerende structuur bood onderzoekers gedragspatronen die zichtbaar bleven terwijl nieuwe adressen oudere vervingen. Vergelijkbare analyse tijdens de Operation Lighthouse intelligence sprint zette blockchainadressen en servicedata om in onderzoeksleads.

Het netwerk bleef ook interactie hebben met over-the-counter brokers en cryptocurrency exchanges. Die diensten creëerden onderzoeks-eindpunten waar blockchainadressen konden worden gekoppeld aan klantaccounts, transactiegegevens of activa die door een bewaarder werden aangehouden. In een afzonderlijke zaak rond terrorismefinanciering bevriest en heruitgaf Tether ongeveer $1,6 miljoen in USDT nadat autoriteiten de bijbehorende wallets hadden geïdentificeerd. Het tracingproces bracht de route en locatie van de cryptocurrency in kaart, maar gerechtelijke toestemming was vereist voordat agenten er controle over konden nemen.

Gerechtelijke bevelen zetten blockchaininlichtingen om in beslagleggingen

Blockchaintracing identificeerde waar het geld naartoe ging, terwijl door de rechtbank uitgevaardigde beslagleggingsbevelen de benodigde bevoegdheid verschaften om controle te krijgen over toegankelijke activa. Een beslagleggingsbevel van juni 2025 dat werd gepubliceerd bij de bekendmaking van 1 september door het Ministerie van Justitie droeg Tether op om USDT die op gespecificeerde adressen werd gehouden te verbranden en een gelijkwaardig bedrag opnieuw uit te geven aan een wallet onder controle van de opsporingsdiensten. Binance kreeg de instructie om saldi van drie genoemde accounts over te dragen naar door de FBI gecontroleerde wallets.

De eerste actie had al vastgesteld hoe donatieadressen een breder inzamelsysteem voedden. De beslaglegging van maart 2025 van ongeveer $200.000 volgde geldstromen vanaf ten minste 17 roterende adressen naar een gecentraliseerde wallet en vervolgens via exchanges en brokers. Inlichtingen die uit dat spoor werden ontwikkeld, leverden nieuwe startpunten voor de onderzoeken in juni en oktober.

Chainalysis beschreef hoe de opgebouwde walletrelaties het onderzoek uiteindelijk verder uitbreidden dan alleen geldtransfers. Bevindingen uit de eerdere zaken hielpen agenten domeinen en servers te identificeren die naar verluidt verbonden waren met de hoofdwebsite van de Al Qassam Brigades. Door die infrastructuur in juli en augustus 2026 in beslag te nemen kon de FBI cryptodonaties onderscheppen op het punt van werving.