Comment le FBI a retracé et saisi 560 000 $ de crypto du réseau du Hamas

Les portefeuilles de gaz partagés exposent un réseau plus large

Les enquêteurs fédéraux ont construit les dossiers de saisie en connectant les transactions blockchain avec les adresses de dons obtenues à partir de sites Web de collecte de fonds, de communications cryptées et de sources humaines. Les trois saisies de cryptomonnaies ont eu lieu en mars, juin et octobre 2025, tandis que l'opération d'application plus large de 560 000 $ comprenait également deux actions contre l'infrastructure en ligne en 2026.

La rotation des adresses de dons n’a pas empêché les agents de trouver des liens entre des transactions apparemment distinctes. Selon le compte rendu de l'enquête de Chainalysis du 3 septembre, de nombreuses adresses liées à la branche militaire du Hamas, les Brigades Al Qassam, dépendaient du même portefeuille de gaz pour payer les frais de transaction de la blockchain. Un portefeuille de gaz fournit les jetons de réseau nécessaires à l'exécution des transferts, faisant du financement répété à partir de la même adresse un point de connexion entre des portefeuilles autrement distincts.

Les agents du FBI ont utilisé Reactor, un logiciel d'enquête blockchain qui analyse les transactions de crypto-monnaie et visualise les connexions entre les portefeuilles et les services, pour visualiser la crypto-monnaie entrant dans un portefeuille de dons avant de passer à un portefeuille opérationnel. Le graphique plaçait les donateurs individuels autour de l'adresse de collecte et retraçait le transfert ultérieur vers des infrastructures prétendument contrôlées par les Brigades Al Qassam. Les mêmes connexions au portefeuille de gaz sont apparues dans les affidavits soutenant les actions de saisie de mars, juin et octobre 2025.

Traçage étendu des adresses aux intermédiaires

Les enquêteurs ont étendu la piste de transaction initiale au cours de l’affaire de juin 2025 en suivant les fonds via des adresses et des comptes nouvellement identifiés. L’analyse a révélé comment la crypto-monnaie était collectée à partir de portefeuilles de dons, déplacée via des comptes opérationnels et consolidée avant d’atteindre des services externes. Un compte serait associé à un courtier de gré à gré basé au Liban, tandis qu'un autre affichait une activité correspondant à une mule d'argent.

Le Hamas a modifié ses méthodes de transaction après la saisie initiale, selon Chainalysis. En octobre 2025, le réseau utilisait des portefeuilles et des ponts de dons à usage unique, qui transféraient la crypto-monnaie d’une blockchain à une autre. Les agents ont continué à suivre les fonds dans ces services, et un troisième mandat de saisie émis le 10 octobre 2025 concernait les actifs identifiés au cours de l'enquête.

La modification d'une adresse ou d'une blockchain a modifié l'itinéraire sans supprimer l'enregistrement de transaction précédent. La nature permanente de l’activité publique de la blockchain a permis aux analystes de revoir les transferts antérieurs, de comparer les modèles de transactions et de relier les activités ultérieures aux infrastructures trouvées lors de cas antérieurs. L'analyse des adresses pourrait ensuite être combinée avec les enregistrements des bourses, des courtiers, des plateformes de communication et d'autres sources.

Les rôles de portefeuille récurrents préservent le modèle financier

Bien que les adresses individuelles aient changé, Chainalysis a noté que le réseau continuait d'attribuer des fonctions similaires à ses portefeuilles. Les portefeuilles de dons ont reçu des contributions, les portefeuilles de gaz ont financé les frais de transaction, les portefeuilles opérationnels ont déplacé les actifs et les adresses de consolidation ont collecté des crypto-monnaies provenant de plusieurs sources. La structure récurrente a fourni aux enquêteurs des modèles de comportement qui sont restés visibles à mesure que de nouvelles adresses remplaçaient les anciennes. Une analyse comparable au cours du sprint de renseignement Operation Lighthouse a converti les adresses de blockchain et les données de service en pistes d’enquête.

Le réseau a également continué à interagir avec les courtiers de gré à gré et les bourses de crypto-monnaie. Ces services ont créé des points de terminaison d'enquête où les adresses blockchain pouvaient être connectées aux comptes clients, aux enregistrements de transactions ou aux actifs détenus par un dépositaire. Dans une autre affaire de financement du terrorisme, Tether a gelé et réémis environ 1,6 million de dollars en USDT après que les autorités ont identifié les portefeuilles associés. Le processus de traçage a permis d’identifier l’itinéraire et l’emplacement de la cryptomonnaie, mais une autorisation judiciaire était nécessaire avant que les agents puissent en prendre le contrôle.

Les ordonnances du tribunal convertissent les renseignements sur la blockchain en saisies

Le traçage de la blockchain a permis d'identifier l'endroit où les fonds ont voyagé, tandis que les mandats de saisie délivrés par les tribunaux ont fourni l'autorité nécessaire pour prendre le contrôle des actifs accessibles. Un mandat de juin 2025 publié avec la divulgation du ministère de la Justice le 1er septembre ordonnait à Tether de brûler les USDT détenus à des adresses spécifiées et de réémettre un montant équivalent dans un portefeuille contrôlé par les forces de l'ordre. Binance a été chargé de transférer les soldes de trois comptes nommés vers des portefeuilles contrôlés par le FBI.

La première action avait déjà établi comment les adresses de dons alimentaient un système de collecte plus large. La saisie de mars 2025, impliquant environ 200 000 dollars, a suivi des fonds provenant d'au moins 17 adresses tournantes vers un portefeuille centralisé et ensuite via des bourses et des courtiers. Les renseignements développés à partir de cette piste ont fourni de nouveaux points de départ pour les enquêtes de juin et octobre.

Chainalysis a détaillé comment les relations accumulées entre les portefeuilles ont finalement étendu l'enquête au-delà des transferts de fonds. Les conclusions des cas précédents ont aidé les agents à identifier les domaines et les serveurs prétendument connectés au site Web principal des Brigades Al Qassam. La saisie de cette infrastructure en juillet et août 2026 a permis au FBI d’intercepter les dons de cryptomonnaies à leur point de sollicitation.