Как ФБР отследило и изъяло $560 тыс. в криптовалюте из сети ХАМАСа

Общие газовые кошельки раскрывают более широкую сеть

Федеральные следователи выстраивали дела об изъятии, связывая блокчейн-транзакции с адресами для пожертвований, полученными с сайтов по сбору средств, из зашифрованных коммуникаций и от человеческих источников. Три изъятия криптовалюты произошли в марте, июне и октябре 2025 года, тогда как более масштабная операция по принудительному взысканию на $560 000 также включала два действия против онлайн-инфраструктуры в 2026 году.

Меняющиеся адреса для пожертвований не помешали агентам находить связи между, казалось бы, отдельными транзакциями. Согласно отчету Chainalysis от 3 сентября об этом расследовании, многочисленные адреса, связанные с военным крылом ХАМАС — бригадами «Аль-Кассам», — зависели от одного и того же газового кошелька для оплаты комиссий блокчейн-транзакций. Газовый кошелек обеспечивает сетевые токены, необходимые для выполнения переводов, поэтому повторяющееся пополнение с одного и того же адреса становится точкой связи между иначе разрозненными кошельками.

Агенты ФБР использовали Reactor — программное обеспечение для блокчейн-расследований, которое анализирует криптовалютные транзакции и визуализирует связи между кошельками и сервисами, — чтобы визуализировать поступление криптовалюты в донорский кошелек перед перемещением в операционный кошелек. Граф размещал отдельных доноров вокруг адреса сбора и прослеживал последующий перевод к инфраструктуре, предположительно контролируемой бригадами «Аль-Кассам». Те же связи через газовый кошелек фигурировали в аффидевитах, поддерживающих действия по изъятию в марте, июне и октябре 2025 года.

Трассировка расширилась от адресов к посредникам

Следователи расширили первоначальную цепочку транзакций в рамках дела июня 2025 года, проследив движение средств через недавно выявленные адреса и аккаунты. Анализ показал, как криптовалюта собиралась с донорских кошельков, перемещалась через операционные счета и консолидировалась перед попаданием во внешние сервисы. Считалось, что один аккаунт связан с внебиржевым брокером в Ливане, тогда как другой демонстрировал активность, характерную для денежного мулла.

По данным Chainalysis, ХАМАС изменил методы проведения транзакций после первого изъятия. К октябрю 2025 года сеть использовала одноразовые донорские кошельки и мосты, которые переводят криптовалюту из одного блокчейна в другой. Агенты продолжили отслеживать средства через эти сервисы, и третий ордер на изъятие, выданный 10 октября 2025 года, охватывал активы, выявленные в ходе расследования.

Смена адреса или блокчейна меняла маршрут, но не удаляла более раннюю запись о транзакциях. Постоянный характер публичной блокчейн-активности позволял аналитикам возвращаться к предыдущим переводам, сравнивать шаблоны транзакций и связывать более позднюю активность с инфраструктурой, обнаруженной в более ранних делах. Затем анализ адресов можно было объединять с записями бирж, брокеров, коммуникационных платформ и других источников.

Повторяющиеся роли кошельков сохраняют финансовый шаблон

Хотя отдельные адреса менялись, Chainalysis отмечала, что сеть продолжала назначать своим кошелькам схожие функции. Донорские кошельки принимали взносы, газовые кошельки финансировали комиссию транзакций, операционные кошельки перемещали активы, а адреса консолидации собирали криптовалюту из нескольких источников. Повторяющаяся структура давала следователям поведенческие шаблоны, которые оставались видимыми, даже когда новые адреса заменяли старые. Сопоставимый анализ в рамках разведывательного спринта Operation Lighthouse преобразовывал блокчейн-адреса и данные сервисов в оперативные зацепки.

Сеть также продолжала взаимодействовать с внебиржевыми брокерами и криптовалютными биржами. Эти сервисы создавали точки для следствия, где блокчейн-адреса можно было связать с клиентскими аккаунтами, записями транзакций или активами, находящимися у кастодиана. В отдельном деле о финансировании терроризма Tether заморозила и перевыпустила примерно $1,6 млн в USDT после того, как власти идентифицировали связанные кошельки. Процесс трассировки определял маршрут и местонахождение криптовалюты, но для того, чтобы агенты могли взять ее под контроль, требовалось судебное разрешение.

Судебные постановления превращают блокчейн-разведку в изъятия

Блокчейн-трассировка определяла, куда перемещались средства, тогда как выданные судом ордера на изъятие давали полномочия, необходимые для установления контроля над доступными активами. Ордер июня 2025 года, опубликованный вместе с раскрытием Минюста от 1 сентября, предписывал Tether сжечь USDT, находившиеся на указанных адресах, и перевыпустить эквивалентную сумму на кошелек, контролируемый правоохранительными органами. Binance было предписано перевести остатки с трех указанных аккаунтов на кошельки, контролируемые ФБР.

Первое действие уже установило, как адреса для пожертвований подпитывали более широкую систему сбора. Изъятие в марте 2025 года примерно на $200 000 проследило движение средств как минимум с 17 меняющихся адресов в централизованный кошелек и далее через биржи и брокеров. Разведданные, полученные по этому следу, дали новые отправные точки для расследований июня и октября.

Chainalysis подробно описала, как накопленные связи между кошельками со временем вывели расследование за пределы переводов средств. Результаты более ранних дел помогли агентам выявить домены и серверы, предположительно связанные с основным сайтом бригад «Аль-Кассам». Изъятие этой инфраструктуры в июле и августе 2026 года позволило ФБР перехватывать криптопожертвования в точке их сбора.