วิธีที่ FBI ติดตามและยึดเงินคริปโตมูลค่า 560,000 ดอลลาร์จากเครือข่ายของฮามาส

กระเป๋าเงินค่าแก๊สที่ใช้ร่วมกันเปิดโปงเครือข่ายที่กว้างขึ้น

ผู้สืบสวนของรัฐบาลกลางสร้างคดียึดทรัพย์โดยเชื่อมโยงธุรกรรมบนบล็อกเชนเข้ากับที่อยู่รับบริจาคที่ได้มาจากเว็บไซต์ระดมทุน การสื่อสารแบบเข้ารหัส และแหล่งข่าวมนุษย์ การยึดครองคริปโทเคอร์เรนซีทั้งสามครั้งเกิดขึ้นในเดือนมีนาคม มิถุนายน และตุลาคม 2025 ขณะที่ปฏิบัติการบังคับใช้กฎหมายมูลค่า 560,000 ดอลลาร์ ในภาพรวมยังรวมถึงการดำเนินการอีกสองครั้งต่อโครงสร้างพื้นฐานออนไลน์ในปี 2026

การหมุนเวียนที่อยู่รับบริจาคไม่ได้ขัดขวางเจ้าหน้าที่จากการค้นหาความเชื่อมโยงระหว่างธุรกรรมที่ดูเหมือนแยกจากกัน ตาม รายงานการสืบสวนของ Chainalysis เมื่อวันที่ 3 ก.ย. ที่อยู่จำนวนมากที่เชื่อมโยงกับปีกการทหารของฮามาส กลุ่มอัล-กัสซาม บริเกดส์ (Al Qassam Brigades) พึ่งพากระเป๋าเงินค่าแก๊สเดียวกันเพื่อชำระค่าธรรมเนียมธุรกรรมบนบล็อกเชน กระเป๋าเงินค่าแก๊สจัดหาโทเค็นของเครือข่ายที่จำเป็นต่อการดำเนินการโอน ทำให้การเติมเงินซ้ำ ๆ จากที่อยู่เดียวกันกลายเป็นจุดเชื่อมโยงระหว่างกระเป๋าเงินที่แยกจากกันในทางอื่น

เจ้าหน้าที่ FBI ใช้ Reactor ซึ่งเป็นซอฟต์แวร์สืบสวนบล็อกเชนที่วิเคราะห์ธุรกรรมคริปโทเคอร์เรนซีและแสดงภาพความเชื่อมโยงระหว่างกระเป๋าเงินและบริการต่าง ๆ เพื่อแสดงภาพคริปโทเคอร์เรนซีที่ไหลเข้าสู่กระเป๋าเงินรับบริจาคก่อนจะย้ายไปยังกระเป๋าเงินปฏิบัติการ กราฟได้จัดวางผู้บริจาครายบุคคลล้อมรอบที่อยู่รวบรวม และติดตามการโอนต่อไปยังโครงสร้างพื้นฐานที่ถูกกล่าวหาว่าอยู่ภายใต้การควบคุมของกลุ่มอัล-กัสซาม บริเกดส์ ความเชื่อมโยงของกระเป๋าเงินค่าแก๊สแบบเดียวกันยังปรากฏในคำให้การที่สนับสนุนการยึดทรัพย์ในเดือนมีนาคม มิถุนายน และตุลาคม 2025

การติดตามขยายจากที่อยู่ไปยังตัวกลาง

ผู้สืบสวนขยายเส้นทางธุรกรรมดั้งเดิมในคดีเดือนมิถุนายน 2025 โดยติดตามเงินทุนผ่านที่อยู่และบัญชีที่เพิ่งระบุได้ใหม่ การวิเคราะห์เผยให้เห็นว่าคริปโทเคอร์เรนซีถูกรวบรวมจากกระเป๋าเงินรับบริจาค ถูกย้ายผ่านบัญชีปฏิบัติการ และถูกรวมยอดก่อนจะไปถึงบริการภายนอกอย่างไร บัญชีหนึ่งเชื่อว่าเกี่ยวข้องกับโบรกเกอร์แบบซื้อขายนอกตลาด (over-the-counter) ที่ตั้งอยู่ในเลบานอน ขณะที่อีกบัญชีหนึ่งแสดงกิจกรรมที่สอดคล้องกับ “ม้ารับจ้างขนเงิน” (money mule)

ตาม Chainalysis ฮามาสเปลี่ยนวิธีการทำธุรกรรมหลังการยึดทรัพย์ครั้งแรก ภายในเดือนตุลาคม 2025 เครือข่ายได้ใช้กระเป๋าเงินรับบริจาคแบบใช้ครั้งเดียวและสะพาน (bridges) ที่โอนคริปโทเคอร์เรนซีจากบล็อกเชนหนึ่งไปยังอีกบล็อกเชนหนึ่ง เจ้าหน้าที่ยังคงติดตามเงินทุนผ่านบริการเหล่านั้น และหมายยึดทรัพย์ฉบับที่สามที่ออกเมื่อวันที่ 10 ต.ค. 2025 ครอบคลุมสินทรัพย์ที่ระบุได้ระหว่างการสืบสวน

การเปลี่ยนที่อยู่หรือบล็อกเชนทำให้เส้นทางเปลี่ยนไปโดยไม่ลบประวัติธุรกรรมก่อนหน้า ความถาวรของกิจกรรมบนบล็อกเชนสาธารณะ ทำให้นักวิเคราะห์สามารถย้อนทบทวนการโอนก่อนหน้า เปรียบเทียบรูปแบบธุรกรรม และเชื่อมโยงกิจกรรมภายหลังกับโครงสร้างพื้นฐานที่พบในคดีก่อน ๆ ได้ จากนั้นการวิเคราะห์ที่อยู่สามารถผสานกับบันทึกจากตลาดแลกเปลี่ยน โบรกเกอร์ แพลตฟอร์มการสื่อสาร และแหล่งข้อมูลอื่น ๆ

บทบาทของกระเป๋าเงินที่เกิดซ้ำคงรูปแบบทางการเงินไว้

แม้ว่าที่อยู่รายตัวจะเปลี่ยนไป แต่ Chainalysis ระบุว่าเครือข่ายยังคงมอบหน้าที่คล้ายเดิมให้กับกระเป๋าเงินของตน กระเป๋าเงินรับบริจาคใช้รับเงินสนับสนุน กระเป๋าเงินค่าแก๊สใช้เติมค่าธรรมเนียมธุรกรรม กระเป๋าเงินปฏิบัติการใช้เคลื่อนย้ายสินทรัพย์ และที่อยู่รวมยอดใช้รวบรวมคริปโทเคอร์เรนซีจากหลายแหล่ง โครงสร้างที่เกิดซ้ำนี้ให้รูปแบบพฤติกรรมแก่ผู้สืบสวน ซึ่งยังมองเห็นได้แม้ที่อยู่ใหม่จะเข้ามาแทนที่อยู่เดิม การวิเคราะห์ที่คล้ายกันระหว่าง การเร่งงานข่าวกรอง Operation Lighthouse ได้แปลงที่อยู่บล็อกเชนและข้อมูลบริการให้เป็นเบาะแสในการสืบสวน

เครือข่ายยังคงมีปฏิสัมพันธ์กับโบรกเกอร์แบบซื้อขายนอกตลาดและตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี บริการเหล่านั้นสร้างจุดปลายทางในการสืบสวน ซึ่งที่อยู่บนบล็อกเชนสามารถเชื่อมโยงกับบัญชีลูกค้า บันทึกธุรกรรม หรือสินทรัพย์ที่ผู้ดูแลทรัพย์สิน (custodian) ถือครอง ในคดีสนับสนุนทางการเงินแก่การก่อการร้ายอีกคดีหนึ่ง Tether ได้อายัดและออกใหม่ USDT ประมาณ 1.6 ล้านดอลลาร์ หลังจากทางการระบุกระเป๋าเงินที่เกี่ยวข้องได้ กระบวนการติดตามระบุเส้นทางและตำแหน่งของคริปโทเคอร์เรนซีได้ แต่ต้องได้รับการอนุมัติจากศาลก่อนที่เจ้าหน้าที่จะเข้าควบคุมได้

คำสั่งศาลเปลี่ยนข่าวกรองบล็อกเชนให้เป็นการยึดทรัพย์

การติดตามบนบล็อกเชนระบุได้ว่าเงินทุนเดินทางไปที่ใด ขณะที่หมายยึดทรัพย์ที่ศาลออกให้เป็นอำนาจที่จำเป็นในการเข้าควบคุมสินทรัพย์ที่เข้าถึงได้ หมายเดือนมิถุนายน 2025 ซึ่งเผยแพร่พร้อมกับ การเปิดเผยของกระทรวงยุติธรรมเมื่อวันที่ 1 ก.ย. สั่งให้ Tether เผา (burn) USDT ที่ถืออยู่ ณ ที่อยู่ที่ระบุ และออกใหม่ในมูลค่าเท่ากันไปยังกระเป๋าเงินที่อยู่ภายใต้การควบคุมของหน่วยงานบังคับใช้กฎหมาย Binance ถูกสั่งให้โอนยอดคงเหลือจากสามบัญชีที่ระบุชื่อไปยังกระเป๋าเงินที่ FBI ควบคุม

การดำเนินการครั้งแรกได้วางรากฐานไว้แล้วว่าที่อยู่รับบริจาคส่งต่อเข้าสู่ระบบรวบรวมที่กว้างขึ้นอย่างไร การยึดทรัพย์ในเดือนมีนาคม 2025 มูลค่าประมาณ 200,000 ดอลลาร์ ติดตามเงินทุนจากที่อยู่ที่หมุนเวียนอย่างน้อย 17 แห่งไปยังกระเป๋าเงินแบบรวมศูนย์ และต่อไปผ่านตลาดแลกเปลี่ยนและโบรกเกอร์ ข่าวกรองที่พัฒนาจากเส้นทางดังกล่าวได้เป็นจุดตั้งต้นใหม่สำหรับการสืบสวนในเดือนมิถุนายนและตุลาคม

Chainalysis อธิบายว่า ความสัมพันธ์ของกระเป๋าเงินที่สะสมขึ้นในท้ายที่สุดได้ขยายการสืบสวนให้ไกลเกินกว่าการโอนเงินทุน ข้อค้นพบจากคดีก่อน ๆ ช่วยให้เจ้าหน้าที่ระบุโดเมนและเซิร์ฟเวอร์ที่ถูกกล่าวหาว่าเชื่อมโยงกับเว็บไซต์หลักของกลุ่มอัล-กัสซาม บริเกดส์ การยึดโครงสร้างพื้นฐานดังกล่าวในเดือนกรกฎาคมและสิงหาคม 2026 ทำให้ FBI สามารถสกัดกั้นการบริจาคคริปโทเคอร์เรนซีได้ ณ จุดที่มีการชักชวน