Kako je FBI izsledil in zasegel 560.000 $ v kriptovalutah iz Hamasove mreže

Skupne denarnice za plin razkrijejo širše omrežje

Zvezni preiskovalci so primere zasega zgradili tako, da so povezali transakcije na verigi blokov z naslovi za donacije, pridobljenimi s spletnih strani za zbiranje sredstev, šifriranih komunikacij in človeških virov. Trije zasegi kriptovalut so se zgodili marca, junija in oktobra 2025, širša operacija izvrševanja v vrednosti 560.000 USD pa je leta 2026 vključevala tudi dve akciji proti spletni infrastrukturi.

Rotirajoči naslovi za donacije agentom niso preprečili, da bi našli povezave med na videz ločenimi transakcijami. Po Chainalysisovem poročilu o preiskavi z dne 3. septembra so se številni naslovi, povezani z vojaškim krilom Hamasa, brigadami Al Qassam, zanašali na isto denarnico za plin za plačevanje provizij za transakcije na verigi blokov. Denarnica za plin zagotavlja omrežne žetone, potrebne za izvedbo prenosov, zato ponavljajoče se financiranje iz istega naslova predstavlja povezovalno točko med sicer ločenimi denarnicami.

Agenti FBI so uporabili Reactor, programsko opremo za preiskave verig blokov, ki analizira kriptovalutne transakcije in vizualizira povezave med denarnicami in storitvami, da so prikazali, kako kriptovaluta vstopi v donacijsko denarnico, preden se premakne v operativno denarnico. Graf je posamezne donatorje razporedil okoli zbirnega naslova in sledil nadaljnjemu prenosu do infrastrukture, ki naj bi jo nadzorovale brigade Al Qassam. Enake povezave prek denarnice za plin so se pojavile v izjavah pod prisego, ki so podpirale zasege marca, junija in oktobra 2025.

Sledenje se je razširilo z naslovov na posrednike

Preiskovalci so med junijskim primerom leta 2025 prvotno transakcijsko sled razširili tako, da so sredstva spremljali prek na novo identificiranih naslovov in računov. Analiza je razkrila, kako so se kriptovalute zbirale iz donacijskih denarnic, premikale prek operativnih računov in se konsolidirale, preden so dosegle zunanje storitve. Za en račun so verjeli, da je povezan z libanonskim posrednikom na OTC trgu, drugi pa je kazal aktivnost, skladno z »denarnim mulom«.

Po navedbah Chainalysis je Hamas po prvem zasegu spremenil svoje transakcijske metode. Do oktobra 2025 je omrežje uporabljalo enkratne donacijske denarnice in mostove, ki prenašajo kriptovaluto z ene verige blokov na drugo. Agenti so sredstva še naprej spremljali prek teh storitev, tretja odredba za zaseg, izdana 10. oktobra 2025, pa je zajela sredstva, identificirana med preiskavo.

Sprememba naslova ali verige blokov je spremenila pot, ne da bi izbrisala prejšnji zapis transakcij. Trajna narava javne aktivnosti na verigi blokov je analitikom omogočila, da so se vrnili k prejšnjim prenosom, primerjali transakcijske vzorce in kasnejšo aktivnost povezali z infrastrukturo, odkrito v prejšnjih primerih. Analizo naslovov je bilo nato mogoče združiti z evidencami borz, posrednikov, komunikacijskih platform in drugih virov.

Ponavljajoče se vloge denarnic ohranjajo finančni vzorec

Čeprav so se posamezni naslovi spreminjali, je Chainalysis ugotovil, da je omrežje svojim denarnicam še naprej dodeljevalo podobne funkcije. Donacijske denarnice so prejemale prispevke, denarnice za plin so financirale transakcijske provizije, operativne denarnice so premikale sredstva, konsolidacijski naslovi pa so zbirali kriptovalute iz več virov. Ponavljajoča se struktura je preiskovalcem zagotavljala vedenjske vzorce, ki so ostali vidni, ko so novi naslovi nadomeščali starejše. Primerljiva analiza med obveščevalnim sprintom Operation Lighthouse je naslove na verigi blokov in podatke o storitvah pretvorila v preiskovalne sledi.

Omrežje je še naprej sodelovalo tudi z OTC posredniki in borzami kriptovalut. Te storitve so ustvarile preiskovalne končne točke, kjer je bilo mogoče naslove na verigi blokov povezati s strankinimi računi, evidencami transakcij ali sredstvi, ki jih hrani skrbnik. V ločenem primeru financiranja terorizma je Tether zamrznil in ponovno izdal približno 1,6 milijona USD v USDT, potem ko so oblasti identificirale povezane denarnice. Postopek sledenja je določil pot in lokacijo kriptovalute, vendar je bilo za to, da bi agenti lahko prevzeli nadzor nad njo, potrebno sodno dovoljenje.

Sodne odredbe spremenijo obveščevalne podatke z verige blokov v zasege

Sledenje na verigi blokov je identificiralo, kam so sredstva potovala, medtem ko so sodno izdane odredbe za zaseg zagotovile pooblastila, potrebna za prevzem nadzora nad dostopnimi sredstvi. Odredba iz junija 2025, objavljena skupaj z razkritjem ministrstva za pravosodje z dne 1. septembra, je družbi Tether naložila, da sežge USDT, ki se nahaja na določenih naslovih, ter ponovno izda enakovreden znesek v denarnico pod nadzorom organov pregona. Binance je bil napoten, da prenese stanja s treh imenovanih računov v denarnice pod nadzorom FBI.

Prva akcija je že vzpostavila, kako so donacijski naslovi napajali širši zbirni sistem. Zaseg iz marca 2025 v višini približno 200.000 USD je sledil sredstvom iz najmanj 17 rotirajočih se naslovov v centralizirano denarnico in naprej prek borz in posrednikov. Obveščevalni podatki, razviti iz te sledi, so zagotovili nova izhodišča za preiskavi junija in oktobra.

Chainalysis je podrobno opisal, kako so se nakopičeni odnosi med denarnicami sčasoma razširili preiskavo onkraj prenosov sredstev. Ugotovitve iz prejšnjih primerov so agentom pomagale identificirati domene in strežnike, ki naj bi bili povezani z glavnim spletnim mestom brigad Al Qassam. Zaseg te infrastrukture julija in avgusta 2026 je FBI omogočil, da je prestregel kriptovalutne donacije na mestu njihovega zbiranja.