Como o FBI rastreou e apreendeu US$ 560 mil em criptomoedas da rede do Hamas

Carteiras de Gas Compartilhadas Revelam uma Rede Mais Ampla

Investigadores federais construíram os casos de apreensão conectando transações em blockchain com endereços de doação obtidos em sites de arrecadação, comunicações criptografadas e fontes humanas. As três apreensões de criptomoedas ocorreram em março, junho e outubro de 2025, enquanto a operação de repressão mais ampla de US$ 560.000 também incluiu duas ações contra infraestrutura online em 2026.

Endereços de doação rotativos não impediram os agentes de encontrar conexões entre transações aparentemente separadas. De acordo com o relato da Chainalysis de 3 de setembro sobre a investigação, inúmeros endereços vinculados à ala militar do Hamas, as Brigadas Al Qassam, dependiam da mesma carteira de gas para pagar taxas de transação na blockchain. Uma carteira de gas fornece os tokens de rede necessários para executar transferências, fazendo com que o financiamento repetido a partir do mesmo endereço seja um ponto de conexão entre carteiras que, de outra forma, seriam separadas.

Agentes do FBI usaram o Reactor, um software de investigações em blockchain que analisa transações de criptomoedas e visualiza conexões entre carteiras e serviços, para visualizar criptomoedas entrando em uma carteira de doação antes de se moverem para uma carteira operacional. O gráfico posicionou doadores individuais ao redor do endereço de coleta e rastreou a transferência subsequente para uma infraestrutura supostamente controlada pelas Brigadas Al Qassam. As mesmas conexões de carteiras de gas apareceram em declarações juramentadas que sustentaram as ações de apreensão de março, junho e outubro de 2025.

O Rastreamento se Expandiu de Endereços para Intermediários

Investigadores estenderam a trilha original de transações durante o caso de junho de 2025 ao acompanhar fundos por endereços e contas recém-identificados. A análise revelou como criptomoedas eram reunidas a partir de carteiras de doação, movidas por contas operacionais e consolidadas antes de chegarem a serviços externos. Acreditava-se que uma conta estivesse associada a um corretor OTC (over-the-counter) baseado no Líbano, enquanto outra exibiu atividade consistente com a de um “laranja” (money mule).

O Hamas mudou seus métodos de transação após a apreensão inicial, segundo a Chainalysis. Até outubro de 2025, a rede estava empregando carteiras de doação de uso único e pontes (bridges), que transferem criptomoedas de uma blockchain para outra. Os agentes continuaram seguindo os fundos através desses serviços, e um terceiro mandado de apreensão emitido em 10 de outubro de 2025 abrangeu ativos identificados durante a investigação.

Mudar um endereço ou blockchain alterava a rota sem apagar o registro de transações anterior. A natureza permanente da atividade em blockchains públicas permitiu que analistas revisitassem transferências anteriores, comparassem padrões de transação e conectassem atividades posteriores à infraestrutura encontrada em casos anteriores. A análise de endereços poderia então ser combinada com registros de exchanges, corretores, plataformas de comunicação e outras fontes.

Funções Recorrentes de Carteiras Preservam o Padrão Financeiro

Embora endereços individuais tenham mudado, a Chainalysis observou que a rede continuou atribuindo funções semelhantes às suas carteiras. Carteiras de doação recebiam contribuições, carteiras de gas financiavam taxas de transação, carteiras operacionais moviam os ativos e endereços de consolidação reuniam criptomoedas de múltiplas fontes. A estrutura recorrente forneceu aos investigadores padrões comportamentais que permaneceram visíveis à medida que novos endereços substituíam os antigos. Análise comparável durante a força-tarefa de inteligência Operation Lighthouse converteu endereços de blockchain e dados de serviços em pistas investigativas.

A rede também continuou interagindo com corretores OTC e exchanges de criptomoedas. Esses serviços criaram pontos finais investigativos onde endereços de blockchain poderiam ser conectados a contas de clientes, registros de transações ou ativos mantidos por um custodiante. Em um caso separado de financiamento do terrorismo, a Tether congelou e reemitiu aproximadamente US$ 1,6 milhão em USDT após as autoridades identificarem as carteiras associadas. O processo de rastreamento identificou a rota e a localização das criptomoedas, mas foi necessária autorização judicial antes que os agentes pudessem assumir o controle.

Ordens Judiciais Convertem Inteligência de Blockchain em Apreensões

O rastreamento em blockchain identificou por onde os fundos passaram, enquanto mandados de apreensão emitidos por tribunais forneceram a autoridade necessária para assumir o controle de ativos acessíveis. Um mandado de junho de 2025 publicado com a divulgação de 1º de setembro do Departamento de Justiça ordenou que a Tether queimasse USDT mantidos em endereços especificados e reemitisse um montante equivalente para uma carteira controlada pelas autoridades. A Binance foi instruída a transferir saldos de três contas nomeadas para carteiras controladas pelo FBI.

A primeira ação já havia estabelecido como endereços de doação alimentavam um sistema de coleta mais amplo. A apreensão de março de 2025 envolvendo aproximadamente US$ 200.000 acompanhou fundos de pelo menos 17 endereços rotativos para uma carteira centralizada e, em seguida, através de exchanges e corretores. A inteligência desenvolvida a partir dessa trilha forneceu novos pontos de partida para as investigações de junho e outubro.

A Chainalysis detalhou como as relações acumuladas entre carteiras acabaram estendendo a investigação para além das transferências de fundos. Descobertas dos casos anteriores ajudaram os agentes a identificar domínios e servidores supostamente conectados ao principal site das Brigadas Al Qassam. A apreensão dessa infraestrutura em julho e agosto de 2026 permitiu ao FBI interceptar doações em criptomoedas no ponto de solicitação.