- Суд разрешил ФБР изъять более $560 000 в криптовалюте, связанной с операциями по сбору средств для ХАМАС, а также демонтировать часть цифровой инфраструктуры группы в рамках пяти связанных исполнительных действий.
- Следователи использовали программное обеспечение для ончейн-отслеживания, чтобы проследить движение криптовалюты от адресов для пожертвований к операционным счетам, через мостовые протоколы и на обменные платформы.
- Эти меры показывают, как ончейн-доказательства, собранные на ранних этапах изъятий, позволили агентам построить карту более широкой финансовой сети и выявить дополнительную инфраструктуру по мере развития расследования.
Пять исполнительных действий против криптоопераций ХАМАС
1 сентября 2026 года Министерство юстиции США сообщило о взятии под контроль криптовалюты и онлайн-инфраструктуры, связанных со схемами сбора средств ХАМАС. В сообщении объединяются пять отдельных исполнительных действий, проведённых с марта 2025 по август 2026 года, каждое из которых было направлено на разные элементы одной и той же финансовой сети.
Судебные материалы показывают, что агенты отслеживали цифровые активы, проходившие через кошельки, контролируемые ХАМАС и его военным крылом — бригадами аль-Кассам, а также вмешивались в работу сайтов и коммуникационных каналов, через которые организация собирала средства и поддерживала связь с донорами. В аффидевитах описывается, как анализ блокчейна позволил следователям восстановить потоки транзакций и определить сервисы, которые ХАМАС использовал для перемещения и конвертации криптовалюты.
Картографирование начальных крипто-потоков
Первое изъятие, проведённое в марте 2025 года, позволило вернуть около $200 000 в стейблкоинах, пожертвованных ХАМАС. Агенты использовали инструменты для ончейн-отслеживания, чтобы задокументировать, как участники ХАМАС собирали пожертвования, переводили средства на операционный адрес и перемещали их далее. В аффидевите по этому делу подробно описана роль газ-кошелька — адреса для оплаты комиссий, который фигурировал среди нескольких адресов, контролируемых бригадами аль-Кассам.
Этот газ-кошелёк стал ключевым звеном. Следователи выявили множество адресов, использовавших один и тот же источник финансирования для осуществления транзакций. Программное обеспечение для визуализации позволило агентам построить карту связей между отдельными транзакциями и более широкой сетью адресов, использующих общую инфраструктуру. В аффидевите приведён граф Reactor, иллюстрирующий эти связи и показывающий, как один элемент общей инфраструктуры может выявить операционные отношения, которые иначе остались бы скрытыми.
К июню 2025 года агенты расширили расследование, чтобы отследить, как ХАМАС консолидировал и перераспределял начальные пожертвования. В аффидевите за этот месяц описано, как криптовалюта перемещалась через ряд новых адресов и счетов. Следователи выявили аккаунт, который, по их мнению, был связан с внебиржевым брокером из Ливана, а также другой аккаунт, проявлявший активность, характерную для схем с подставными лицами.
Адаптация тактики и продолжение отслеживания
После изъятия в марте 2025 года ХАМАС изменил свои операционные методы. В аффидевите за октябрь 2025 года объясняется, что группа начала использовать мостовые протоколы для перевода криптовалюты между блокчейнами, чтобы усложнить отслеживание. ХАМАС также стал использовать одноразовые кошельки для пожертвований вместо повторного использования одних и тех же адресов. Несмотря на эти изменения, агенты продолжили отслеживать перемещение средств. В аффидевите описывается приказ о заморозке определённых активов в рамках этих действий.
Другие аспекты операции остались прежними. ХАМАС продолжал использовать газ-кошельки, адреса для пожертвований и счета для консолидации средств в сходной конфигурации. Группа также продолжала использовать несколько OTC-десков и обменных платформ для конвертации и перемещения криптовалюты. Эти повторяющиеся паттерны позволяли следователям сохранять видимость сети, даже несмотря на смену отдельных адресов.
В июле и августе 2026 года расследование вышло за рамки отслеживания средств. Власти использовали сетевую информацию, собранную на ранних этапах, чтобы нацелиться на онлайн-инфраструктуру, которую ХАМАС якобы использовал для сбора пожертвований и коммуникации со сторонниками. Минюст США заявляет, что ФБР изъяло домены и серверы, связанные с основным сайтом бригад аль-Кассам, что позволило агентам перехватывать попытки пожертвований и собирать информацию о лицах, пытавшихся отправить средства.
Построение расследований на основе ончейн-доказательств
Пять дел показывают, как ончейн-расследования могут расширяться от начальных находок к выявлению более широких сетей. Начавшись с отслеживания отдельных адресов для пожертвований, следователи вышли на новые кошельки, инфраструктуру консолидации и предполагаемых финансовых посредников, связанных с более широкой схемой финансирования ХАМАС.
Адреса и методы могут меняться, но история транзакций навсегда остаётся в блокчейне. Эта неизменность позволяет следователям возвращаться к предыдущей активности, выявлять новые связи и продолжать отслеживать движение средств по мере адаптации сети. В случаях с ХАМАС информация, обнаруженная при изъятии в марте 2025 года, стала основой для действий в июне и октябре 2025 года, а сетевая разведка, собранная в ходе всех трёх изъятий криптовалюты, поддержала операции по ликвидации инфраструктуры в июле и августе 2026 года.
В аффидевитах описывается, как агенты использовали Chainalysis Reactor — программное обеспечение для ончейн-расследований, позволяющее анализировать криптовалютные транзакции и визуализировать связи между кошельками и сервисами — для поддержки расследования. В этих случаях анализ блокчейна позволил превратить отдельные транзакции и адреса в целостную картину передвижения средств по сети.
В результате трёх ордеров на изъятие криптовалюты, исполненных в марте, июне и октябре 2025 года, власти США вернули более $560 000 в криптовалюте. Дополнительные меры в июле и августе 2026 года позволили получить контроль над доменами и серверами, которые, как утверждается, ХАМАС использовал для сбора средств и вербовки. Расследование эволюционировало от отслеживания отдельных адресов для пожертвований к выявлению сети кошельков, бирж, инфраструктуры консолидации и предполагаемых финансовых посредников.
По данным властей США, ХАМАС и бригады аль-Кассам использовали криптовалюту как один из способов сбора и перемещения средств. Адреса для пожертвований распространялись среди сторонников через сайты и онлайн-каналы связи, а поступающие средства затем перемещались через кошельки, биржи и другие криптосервисы. Следователи отслеживали движение средств от адресов для пожертвований через операционные и консолидационные кошельки, кроссчейн-активность и аккаунты на биржах, а общая инфраструктура помогала связать между собой действия, которые иначе могли бы казаться несвязанными.
Источник: www.chainalysis.com