Jak FBI namierzyło i przejęło 560 tys. dolarów w kryptowalutach z sieci Hamasu

Współdzielone portfele gas ujawniają szerszą sieć

Federalni śledczy budowali sprawy dotyczące zajęć, łącząc transakcje w blockchainie z adresami darowizn pozyskanymi ze stron zbiórkowych, zaszyfrowanej komunikacji oraz źródeł osobowych. Trzy zajęcia kryptowalut miały miejsce w marcu, czerwcu i październiku 2025 r., natomiast szersza operacja egzekucyjna na 560 000 USD obejmowała także dwie akcje przeciwko infrastrukturze online w 2026 r.

Rotujące adresy darowizn nie uniemożliwiły agentom znalezienia powiązań między pozornie odrębnymi transakcjami. Zgodnie z relacją Chainalysis z 3 września dotyczącą śledztwa, liczne adresy powiązane ze skrzydłem wojskowym Hamasu, Brygadami Al-Kassam, korzystały z tego samego portfela gas do opłacania opłat transakcyjnych w blockchainie. Portfel gas dostarcza tokeny sieciowe potrzebne do realizacji transferów, przez co wielokrotne zasilanie z tego samego adresu stanowi punkt łączący pomiędzy w innym wypadku odrębnymi portfelami.

Agenci FBI używali Reactor — oprogramowania do dochodzeń blockchain, które analizuje transakcje kryptowalutowe i wizualizuje powiązania między portfelami a usługami — aby zobrazować wpływ kryptowaluty do portfela darowizn, a następnie jej przejście do portfela operacyjnego. Wykres umiejscawiał poszczególnych darczyńców wokół adresu zbiorczego i śledził późniejszy transfer do infrastruktury rzekomo kontrolowanej przez Brygady Al-Kassam. Te same powiązania z portfelem gas pojawiały się w oświadczeniach pod przysięgą wspierających działania zajęciowe z marca, czerwca i października 2025 r.

Śledzenie rozszerzono z adresów na pośredników

Śledczy rozszerzyli pierwotny ślad transakcyjny w sprawie z czerwca 2025 r., podążając za środkami przez nowo zidentyfikowane adresy i konta. Analiza ujawniła, jak kryptowaluta była gromadzona w portfelach darowizn, przenoszona przez konta operacyjne i konsolidowana, zanim trafiła do usług zewnętrznych. Uważano, że jedno konto jest powiązane z libańskim brokerem OTC, natomiast inne wykazywało aktywność zgodną z działaniem „muła” finansowego.

Według Chainalysis Hamas zmienił metody transakcyjne po pierwszym zajęciu. Do października 2025 r. sieć wykorzystywała jednorazowe portfele darowizn oraz mosty, które przenoszą kryptowalutę z jednego blockchaina do innego. Agenci nadal śledzili środki poprzez te usługi, a trzeci nakaz zajęcia wydany 10 października 2025 r. obejmował aktywa zidentyfikowane w toku śledztwa.

Zmiana adresu lub blockchaina modyfikowała trasę, ale nie usuwała wcześniejszego zapisu transakcji. Trwały charakter publicznej aktywności w blockchainie pozwalał analitykom wracać do wcześniejszych transferów, porównywać wzorce transakcyjne i łączyć późniejszą aktywność z infrastrukturą wykrytą w poprzednich sprawach. Analizę adresów można było następnie łączyć z zapisami z giełd, od brokerów, z platform komunikacyjnych oraz innych źródeł.

Powtarzające się role portfeli utrzymują wzorzec finansowy

Choć poszczególne adresy się zmieniały, Chainalysis zauważyło, że sieć nadal przypisywała swoim portfelom podobne funkcje. Portfele darowizn przyjmowały wpłaty, portfele gas finansowały opłaty transakcyjne, portfele operacyjne przenosiły aktywa, a adresy konsolidacyjne gromadziły kryptowalutę z wielu źródeł. Powtarzalna struktura dostarczała śledczym wzorców behawioralnych, które pozostawały widoczne, gdy nowe adresy zastępowały starsze. Podobna analiza w ramach sprintu wywiadowczego Operation Lighthouse przekształcała adresy blockchain i dane usług w tropy śledcze.

Sieć nadal wchodziła też w interakcje z brokerami OTC oraz giełdami kryptowalut. Usługi te tworzyły punkty końcowe śledztwa, w których adresy blockchain można było powiązać z kontami klientów, rejestrami transakcji lub aktywami przechowywanymi przez depozytariusza. W osobnej sprawie dotyczącej finansowania terroryzmu Tether zamroził i ponownie wyemitował około 1,6 mln USD w USDT po tym, jak władze zidentyfikowały powiązane portfele. Proces śledzenia wskazał trasę i lokalizację kryptowaluty, lecz przed przejęciem kontroli przez agentów konieczna była zgoda sądu.

Nakazy sądowe zamieniają wywiad blockchain w zajęcia

Śledzenie w blockchainie identyfikowało, dokąd przemieszczały się środki, natomiast wydane przez sąd nakazy zajęcia zapewniały uprawnienia potrzebne do przejęcia kontroli nad dostępnymi aktywami. Nakaz z czerwca 2025 r., opublikowany wraz z ujawnieniem Departamentu Sprawiedliwości z 1 września, nakazywał Tetherowi spalić USDT przechowywane na wskazanych adresach i wyemitować równoważną kwotę do portfela kontrolowanego przez organy ścigania. Binance polecono przenieść salda z trzech wskazanych kont do portfeli kontrolowanych przez FBI.

Pierwsze działanie wcześniej wykazało już, jak adresy darowizn zasilały szerszy system zbiórki. Zajęcie z marca 2025 r. obejmujące około 200 000 USD śledziło środki z co najmniej 17 rotujących adresów do scentralizowanego portfela, a następnie przez giełdy i brokerów. Wywiad wypracowany na tym śladzie dostarczył nowych punktów startowych dla dochodzeń z czerwca i października.

Chainalysis opisało, jak narastające relacje między portfelami ostatecznie rozszerzyły śledztwo poza same transfery środków. Ustalenia z wcześniejszych spraw pomogły agentom zidentyfikować domeny i serwery rzekomo powiązane z główną stroną internetową Brygad Al-Kassam. Zajęcie tej infrastruktury w lipcu i sierpniu 2026 r. umożliwiło FBI przechwytywanie darowizn kryptowalutowych w miejscu ich pozyskiwania.