Як ФБР відстежило та вилучило $560 тис. у криптовалюті з мережі ХАМАСу

Спільні gas-гаманці викривають ширшу мережу

Федеральні слідчі формували справи щодо вилучення, поєднуючи блокчейн-транзакції з адресами для пожертв, отриманими з сайтів зі збору коштів, зашифрованих комунікацій і від людських джерел. Три вилучення криптовалюти відбулися у березні, червні та жовтні 2025 року, тоді як ширша операція із забезпечення виконання на $560 000 також включала дві дії проти онлайн-інфраструктури у 2026 році.

Ротаційні адреси для пожертв не завадили агентам знаходити зв’язки між, на перший погляд, окремими транзакціями. За даними опису розслідування від Chainalysis від 3 вересня, численні адреси, пов’язані з військовим крилом ХАМАС — бригадами «Аль-Кассам», — використовували один і той самий gas-гаманець для оплати комісій за блокчейн-транзакції. Gas-гаманець постачає мережеві токени, потрібні для виконання переказів, тож повторне поповнення з однієї й тієї самої адреси стає точкою зв’язку між інакше розрізненими гаманцями.

Агенти ФБР використовували Reactor — програмне забезпечення для блокчейн-розслідувань, яке аналізує транзакції з криптовалютою та візуалізує зв’язки між гаманцями й сервісами, — щоб візуалізувати надходження криптовалюти в гаманець для пожертв перед тим, як вона переходила в операційний гаманець. Граф розмістив окремих донорів навколо адреси збору та простежив подальший переказ до інфраструктури, яку, ймовірно, контролювали бригади «Аль-Кассам». Ті самі зв’язки через gas-гаманець фігурували в присяжних заявах, що підтримували дії з вилучення у березні, червні та жовтні 2025 року.

Трасування розширилося від адрес до посередників

Під час червневої справи 2025 року слідчі розширили первинний ланцюжок транзакцій, відстежуючи кошти через нововиявлені адреси та рахунки. Аналіз показав, як криптовалюта збиралася з гаманців для пожертв, переміщувалася через операційні рахунки й консолідувалася перед потраплянням до зовнішніх сервісів. Вважалося, що один рахунок був пов’язаний з позабіржовим (OTC) брокером у Лівані, тоді як інший демонстрував активність, характерну для «грошового мула».

За даними Chainalysis, після першого вилучення ХАМАС змінив методи проведення транзакцій. До жовтня 2025 року мережа використовувала одноразові гаманці для пожертв і мости, які переносять криптовалюту з одного блокчейна в інший. Агенти й надалі відстежували кошти через ці сервіси, а третій ордер на вилучення, виданий 10 жовтня 2025 року, охоплював активи, ідентифіковані під час розслідування.

Зміна адреси або блокчейна змінювала маршрут, але не стирала попередній запис транзакцій. Незмінна природа публічної активності в блокчейні дозволяла аналітикам повертатися до попередніх переказів, порівнювати шаблони транзакцій і пов’язувати пізнішу активність з інфраструктурою, виявленою під час ранніх справ. Аналіз адрес можна було поєднувати з записами бірж, брокерів, комунікаційних платформ та інших джерел.

Повторювані ролі гаманців зберігають фінансовий шаблон

Хоча окремі адреси змінювалися, Chainalysis зазначила, що мережа продовжувала надавати своїм гаманцям подібні функції. Гаманці для пожертв приймали внески, gas-гаманці фінансували комісії за транзакції, операційні гаманці переміщували активи, а адреси консолідації збирали криптовалюту з кількох джерел. Повторювана структура дала слідчим поведінкові шаблони, які залишалися видимими, навіть коли нові адреси замінювали старі. Подібний аналіз під час розвідувального спринту Operation Lighthouse перетворив блокчейн-адреси та дані сервісів на слідчі зачіпки.

Мережа також продовжувала взаємодіяти з позабіржовими брокерами та криптовалютними біржами. Ці сервіси створювали слідчі «кінцеві точки», де блокчейн-адреси можна було пов’язати з обліковими записами клієнтів, записами транзакцій або активами, що зберігалися у кастодіана. В іншій справі про фінансування тероризму Tether заморозила та перевипустила приблизно $1,6 млн у USDT після того, як влада ідентифікувала пов’язані гаманці. Процес трасування визначив маршрут і місцезнаходження криптовалюти, але перед тим, як агенти могли взяти її під контроль, була потрібна судова санкція.

Судові накази перетворюють блокчейн-розвіддані на вилучення

Блокчейн-трасування визначало, куди переміщувалися кошти, тоді як судові ордери на вилучення забезпечували повноваження, потрібні для взяття під контроль доступних активів. Червневий ордер 2025 року, оприлюднений разом із повідомленням Мін’юсту від 1 вересня, зобов’язував Tether спалити USDT, що зберігалися на зазначених адресах, і перевипустити еквівалентну суму на гаманець під контролем правоохоронних органів. Binance було доручено переказати залишки з трьох названих рахунків на гаманці під контролем ФБР.

Перша дія вже показала, як адреси для пожертв підживлювали ширшу систему збору. Березневе вилучення 2025 року приблизно на $200 000 простежило кошти щонайменше з 17 ротаційних адрес до централізованого гаманця, а далі — через біржі та брокерів. Розвіддані, отримані з цього ланцюжка, надали нові стартові точки для червневих і жовтневих розслідувань.

Chainalysis детально описала, як накопичені взаємозв’язки між гаманцями зрештою розширили розслідування за межі переказів коштів. Висновки з попередніх справ допомогли агентам ідентифікувати домени й сервери, які, ймовірно, були пов’язані з основним вебсайтом бригад «Аль-Кассам». Вилучення цієї інфраструктури в липні та серпні 2026 року дало змогу ФБР перехоплювати криптовалютні пожертви в момент їхнього збору.