Hur FBI spårade och beslagtog 560 000 dollar i kryptovaluta från Hamas nätverk

Delade gasplånböcker avslöjar ett bredare nätverk

Federala utredare byggde beslagsärendena genom att koppla blockkedjetransaktioner till donationsadresser som hämtats från insamlingswebbplatser, krypterad kommunikation och mänskliga källor. De tre kryptobeslagen skedde i mars, juni och oktober 2025, medan den bredare verkställighetsinsatsen på 560 000 dollar även inkluderade två åtgärder mot onlineinfrastruktur under 2026.

Roterande donationsadresser hindrade inte agenter från att hitta kopplingar mellan till synes separata transaktioner. Enligt Chainalysis redogörelse den 3 september för utredningen var många adresser kopplade till Hamas militära gren, Al Qassam-brigaderna, beroende av samma gasplånbok för att betala blockkedjans transaktionsavgifter. En gasplånbok tillhandahåller de nätverkstoken som behövs för att genomföra överföringar, vilket gör upprepad finansiering från samma adress till en kopplingspunkt mellan annars separata plånböcker.

FBI-agenter använde Reactor, programvara för blockkedjeutredningar som analyserar kryptovalutatransaktioner och visualiserar kopplingar mellan plånböcker och tjänster, för att visualisera kryptovaluta som kommer in i en donationsplånbok innan den flyttas till en operativ plånbok. Grafen placerade enskilda givare runt insamlingsadressen och spårade den efterföljande överföringen till infrastruktur som påstås kontrolleras av Al Qassam-brigaderna. Samma gasplånbokskopplingar förekom i affidaviter som stödde beslagsåtgärderna i mars, juni och oktober 2025.

Spårningen utökades från adresser till mellanhänder

Utredare förlängde det ursprungliga transaktionsspåret under fallet i juni 2025 genom att följa medel via nyidentifierade adresser och konton. Analysen visade hur kryptovaluta samlades in från donationsplånböcker, flyttades genom operativa konton och konsoliderades innan den nådde externa tjänster. Ett konto tros ha varit kopplat till en Libanon-baserad OTC-mäklare, medan ett annat uppvisade aktivitet som stämde överens med en penningmålvakt.

Hamas ändrade sina transaktionsmetoder efter det första beslaget, enligt Chainalysis. Till oktober 2025 använde nätverket donationsplånböcker för engångsbruk och bryggor, som överför kryptovaluta från en blockkedja till en annan. Agenter fortsatte att följa medlen över dessa tjänster, och en tredje beslagsorder som utfärdades den 10 oktober 2025 omfattade tillgångar som identifierats under utredningen.

Att byta adress eller blockkedja ändrade rutten utan att radera den tidigare transaktionshistoriken. Den permanenta karaktären hos offentlig blockkedjeaktivitet gjorde det möjligt för analytiker att återvända till tidigare överföringar, jämföra transaktionsmönster och koppla senare aktivitet till infrastruktur som hittats under tidigare ärenden. Adressanalys kunde därefter kombineras med uppgifter från börser, mäklare, kommunikationsplattformar och andra källor.

Återkommande plånboksroller bevarar det finansiella mönstret

Även om enskilda adresser ändrades noterade Chainalysis att nätverket fortsatte att tilldela sina plånböcker liknande funktioner. Donationsplånböcker tog emot bidrag, gasplånböcker finansierade transaktionsavgifter, operativa plånböcker flyttade tillgångarna och konsolideringsadresser samlade kryptovaluta från flera källor. Den återkommande strukturen gav utredare beteendemönster som förblev synliga när nya adresser ersatte äldre. Jämförbar analys under Operation Lighthouse-underrättelsesprinten omvandlade blockkedjeadresser och tjänstedata till utredningsspår.

Nätverket fortsatte också att interagera med OTC-mäklare och kryptovalutabörser. Dessa tjänster skapade utredningsslutpunkter där blockkedjeadresser kunde kopplas till kundkonton, transaktionsregister eller tillgångar som förvarades av en förvaringsinstitut. I ett separat ärende om finansiering av terrorism fryste och återutgav Tether cirka 1,6 miljoner USDT efter att myndigheter identifierat de associerade plånböckerna. Spårningsprocessen identifierade rutten och platsen för kryptovalutan, men domstolsgodkännande krävdes innan agenter kunde ta kontroll över den.

Domstolsbeslut omvandlar blockkedjeunderrättelser till beslag

Blockkedjespårning identifierade vart medlen tog vägen, medan domstolsutfärdade beslagsordrar gav den behörighet som krävdes för att ta kontroll över tillgängliga tillgångar. En order från juni 2025 som publicerades tillsammans med Justitiedepartementets offentliggörande den 1 september instruerade Tether att bränna USDT som hölls på angivna adresser och återutge ett motsvarande belopp till en plånbok kontrollerad av brottsbekämpande myndigheter. Binance instruerades att överföra saldon från tre namngivna konton till FBI-kontrollerade plånböcker.

Den första åtgärden hade redan fastställt hur donationsadresser matade ett bredare insamlingssystem. Beslaget i mars 2025 på cirka 200 000 dollar följde medel från minst 17 roterande adresser till en centraliserad plånbok och vidare via börser och mäklare. Underrättelser som utvecklades från det spåret gav nya utgångspunkter för utredningarna i juni och oktober.

Chainalysis beskrev hur de ackumulerade plånboksrelationerna till slut utvidgade utredningen bortom medelöverföringar. Fynd från de tidigare fallen hjälpte agenter att identifiera domäner och servrar som påstås vara kopplade till Al Qassam-brigadernas huvudsakliga webbplats. Att beslagta den infrastrukturen i juli och augusti 2026 gjorde det möjligt för FBI att avlyssna kryptodonationer vid själva insamlingspunkten.