От перевода в 10 долларов до расчетных узлов с оборотом в миллионы: анализ блокчейн-данных показал, как устроен сбор и распределение крипто пожертвований террористической организации ХАМАС. Аналитики компании BitOK, специализирующейся на AML/KYC-решениях для криптоиндустрии, в своем блоге подробно исследовали, как устроена эта схема.
12 февраля 2025 года на криптовалютный адрес, который, по данным ФБР, использовался для сбора пожертвований в пользу боевого крыла ХАМАС Al-Qassam, поступило 14 TRX —токенов сети TRON, которые нужны не для расчетов, а для оплаты комиссии за перевод (что-то вроде “бензина” для транзакции). Спустя 63 секунды с того же адреса на другой кошелек ушло 4 018,76 долларовых стейблкоинов USDT. Со стороны это выглядит как рядовой перевод, но именно он стал первой ниткой, потянув за которую аналитики BitOK распутали сеть из десятков адресов в трех блокчейнах и реконструировали инфраструктуру сбора и распределения денег ХАМАС.
Два адреса, которые стали отправной точкой
Все началось с двух адресов из аффидевита ФБР от 25 июня 2025 года — официального письменного заявления под присягой, которое ведомство подает в суд как часть доказательной базы. Один адрес, по данным ФБР, был предоставлен для пожертвований в пользу Al-Qassam. Второй значится в тех же материалах как операционный кошелек этой структуры.
На первый взгляд, адреса связывает только то, что оба принимали USDT. Но эксперты нашли более прочную связь: общий отправитель пополнял оба адреса токеном TRX. 12 февраля 2025 года адрес пожертвований получил 14 TRX, а уже через 63 секунды отправил 4 018,763491 USDT операционному кошельку.
Эта короткая связка — сначала TRX на комиссию, затем сам перевод USDT, — оказалась не случайностью, а типичной моделью работы организаторов системы: она повторяется. Благодаря этому аналитики нашли новые адреса.
Проверка похожих TRX-переводов вывела на еще одного отправителя, который оплатил комиссии сразу пяти адресов, позже упомянутых в материалах ФБР, а также нескольких посредников одной из сборочных операций.
Так расследование перешло от двух опубликованных адресов к поиску повторяющихся ролей: кто получает деньги, кто оплачивает технические операции, и кто собирает поступления перед тем, как перевести их в другую сеть.
Воронка: сотни мелких платежей на входе
Собранные данные говорят об одном: похоже, что деньги собирали не через один открытый кошелек, куда постоянно поступали пожертвования, а по-другому. На входе — множество адресов и небольших платежей, часть из которых прошла через короткую цепочку посредников. В некоторых подтвержденных цепочках видны поступления от кошельков бирж. На графе транзакций встречаются метки обменных сервисов — это показывает, через какой канал шли деньги, но не раскрывает личность того, кто их отправил.
Цифры масштаба: из 69 исследованных адресов у 14 было от 20 до 55 существенных отправителей. Эти 14 “профилей-сборщиков” получили 488 переводов на 268 518,22 USDT, причем 420 из этих переводов не превышали 1 000 USDT (в подсчет включались поступления от 10 USDT). У остальных 39 адресов был только один существенный отправитель — то есть роли внутри схемы различались: одни адреса собирали деньги от многих, другие просто передавали их дальше.
Показательный пример: 10 разных посредников присылали на один и тот же адрес по одному платежу USDT каждый, причем перед этим за 15–63 секунды каждый из них получал TRX на комиссию — все тот же узнаваемый почерк. Собрав 2 981,233617 USDT, TXUi отправил всю сумму в Bridgers — сервис, который меняет одну сеть или криптовалюту на другую, то есть работает как мост между блокчейнами. Публичных объявлений о сборе пожертвований для этих адресов не найдено, поэтому их “донатная” функция остается предположением, а не доказанным фактом — но сама схема сборки выглядит организованной.
Мост в BSC
В эпизоде с TXUi деньги не остались в TRON. Получатель в другой сети сначала получил 1,106942 ETH — это уже сеть Ethereum, — а затем инициировал обмен и получил 2 993,110491 USDT в BSC, то есть в сети BNB Smart Chain. В других разобранных случаях подтверждены и прямые переходы из TRON сразу в BSC, без промежуточного шага через Ethereum.
В отдельной выборке за 2026 год нашлось 64 выплаты Bridgers в BSC на общую сумму 396 801,64 USDT. Для 54 из них, на 357 670,04 USDT, удалось найти точные исходные заявки с 50 адресов в TRON — то есть проследить, откуда именно пришли деньги. После моста средства снова проходили через посредников, сходились в одних и тех же узлах и расходились между сервисными адресами, вероятными депозитами на биржи и обратными обменами. Один из вариантов объяснения этой структуры — то, что часть адресов обслуживает внебиржевые (OTC) расчеты, то есть прямой обмен крипты на наличные без участия публичной биржи. Но это лишь одно из объяснений, а не подтвержденная роль каждого конкретного получателя.
Стоит отдельно сказать про саму смену сети. USDT в BSC — это не тот же токен, что USDT в TRON, а его «перепривязанная» версия, Binance-Peg USDT: она выпущена Binance, но обеспечена реальными USDT в резерве один к одному. Смена сети усложняет расследование, так как приходится сопоставлять данные из разных блокчейнов, но не делает деньги невидимыми и не гарантирует защиту от блокировки.
Как “объединяли” восемь кошельков
20 июля 2026 года восемь разных адресов в BSC перечислили средства на один адрес. Тот, в свою очередь, отправил в Bridgers 122 696,47917 USDT — причем в самой заявке на обмен были указаны и получатель в TRON, и итоговая сумма выплаты: 122 449,586211 USDT.
Через 34 минуты 58 секунд эту сумму получил другой адрес. Важная деталь: еще до подачи заявки на обмен три кошелька из исходной TRON-ветви перечислили этому получателю в сумме 84,946792 TRX — то есть заранее оплатили ему будущую комиссию. Получатель был подготовлен заранее, а значит, речь идет не о случайном совпадении, а о согласованных действиях.
Дальше 120 780 USDT ушли на другой адрес, а оставшиеся 1 669,586211 USDT — второму получателю. Так одна конкретная выплата вышла в куда более крупную расчетную среду.
Ядро схемы: крупные узлы и связь с обменником в Газе
Адрес TYRbt — не конечная точка и не отдельный кошелек для донатов. За всю исследованную историю на него пришло 2 910 574 USDT поступлений, и разобранная выше выплата через мост дала лишь около 4,15% этого объема. Остальные деньги поступали от других отправителей — то есть перед нами узел куда более широкой расчетной инфраструктуры.
Два крупнейших получателя денег от TYRbt вместе получили 2 598 903 USDT. Еще один узел направил первому из них 5 904 832 USDT за 32 перевода, а второму — 1 453 525 USDT за девять переводов. Повторяемость переводов говорит об устойчивых, регулярных расчетных отношениях между адресами — эти суммы нельзя суммировать так, будто речь о независимом разовом финансировании.
На этом этапе всплывает вероятная связь с внебиржевым обменником в Газе. Один из адресов помечен как Afaq International Exchange / Gaza OTC. Этот адрес напрямую перечислил 60 000 USDT 13 июня и 35 000 USDT 17 июня на адрес, который, в свою очередь, регулярно переводит деньги на TNdRJ.
Пять кошельков, которые заблокировала Tether
В соседней ветви той же расчетной инфраструктуры аналитики обнаружили пять связанных между собой адресов, которые компания Tether — эмитент USDT — заблокировала в апреле–мае 2026 года. У Tether есть техническая возможность сделать это через код смарт-контракта: по сути, “выключить” токены на конкретном адресе, лишив его владельца возможности ими воспользоваться. На момент проверки 6 сентября на этих пяти адресах суммарно оставалось 5 615 874,51 USDT.
Эти пять адресов связывает не только совпадение дат блокировки. Один отправитель перечислил 3 млн USDT адресу TEgj и переводил средства адресу TRrs, а тот, в свою очередь, отправлял их адресу TDys. Сам факт блокировки TEgj подтвержден событием смарт-контракта Tether.
Есть и конкретное пересечение с OTC-окружением из предыдущего раздела: адрес получил 150 000 USDT от адреса TH8 еще до его блокировки, а также 81 800 USDT от того же адреса с меткой Afaq. Его дальнейшие контрагенты пересекаются с маршрутами к крупным расчетным узлам, описанным выше. Это реальные финансовые связи — но не доказательство того, что все эти адреса делят одну “кассу”.
Решающая деталь нашлась при проверке остатков на счетах. Между отдельными переводами баланс TDbWRay падал до 1,50 USDT — то есть деньги проходили через этот адрес транзитом, не накапливаясь. Похожая картина — почти нулевой баланс — обнаружилась и на другом посреднике. Это значит, что девять проверенных путей не подтверждают сквозной перенос десятков или сотен тысяч долларов из замороженной ветви в основную расчетную группу: общие посредники связывают разные участки карты между собой, но крупное непрерывное финансирование по этим конкретным путям не установлено.
При этом за пределами блокировки сохранился отдельный, вполне живой остаток. Незамороженный адрес напрямую получил от адреса TUpYa 61 100 USDT, а отправил обратно лишь 100 USDT. По восстановленной полной истории в его остатке сохранялось 61 000–61 100 USDT из этих поступлений; на дату проверки общий баланс адреса составлял 71 128,75 USDT.
Итог по этой ветви: выявлено связанное финансовое окружение вокруг ранее замороженных кошельков и отдельный незаблокированный остаток рядом с ними. Но сама по себе заморозка не устанавливает ни владельца адресов, ни причину ограничений, ни то, что деньги принадлежат именно ХАМАС.
Схема продолжает работать
Активность схемы фиксировали и в конце лета, и в начале сентября 2026 года. Четыре посредника после выплат через HOT Bridge (еще один сервис обмена между сетями, аналог Bridgers) перечислили около 7 714,75 USDT на уже знакомый повторно используемый узел E7 в BSC. Это отдельная ветвь, а не дополнительные выплаты через Bridgers. Один из проверенных переводов в этой цепочке состоялся 4 сентября.
6 сентября адрес TNdRJ отправил 8 982 USDT. Дальше через еще двух посредников последовали переводы на 8 928 USDT, 8 888 USDT и 18 930 USDT. Вся цепочка заняла девять минут девять секунд. Эти же посредники и раньше взаимодействовали друг с другом: перед USDT-переводами они напрямую оплачивали друг другу комиссию в TRX — тот самый узнаваемый почерк схемы с самого начала расследования.
Рост суммы в последнем переводе (18 930 USDT против 8 982 в начале цепочки) объясняется смешанным балансом получателей, а не тем, что исходная сумма увеличилась сама по себе. При восстановлении полных историй по конкретным событиям выяснилось, что расчетная доля именно первого входящего перевода в последнем исходящем составила от 3 462,79 до 8 888 USDT, а не все 18 930. Это подтверждает, что расчетная ветвь действительно продолжает работать — но не позволяет приписать ей чужие поступления.
Четыре паттерна, которые повторяются в каждой ветке
- Много мелких входов — один собранный выход. Часть адресов аккумулирует десятки поступлений, а транзитные посредники передают USDT дальше, почти не оставляя остатка на счете.
- Техническое пополнение предшествует денежному переводу. И в сборке через TXUi, и в обратной ветви через BSC получатель сначала получает TRX на комиссию — и лишь после приходит сам перевод USDT. Это позволяет увидеть подготовку операции заранее.
- Смена сети не отменяет повторяемость ролей. После моста через Bridgers в BSC снова возникают те же роли: посредники, сборочные адреса, узлы распределения. Часть потока уходит к сервисным контрагентам, часть возвращается через мост обратно в TRON.
- Крупные адреса работают с несколькими источниками. Повторные платежи и смешанные остатки больше похожи на расчетную инфраструктуру, которая обслуживает разных клиентов, чем на простой кошелек для хранения одних и тех же денег.
Итог
Главная находка этого расследования — реконструкция повторяющейся организации движения денег ХАМАС: небольшие поступления, консолидация, переход в другую сеть, повторная сборка на новом месте и, наконец, выход в куда более крупную расчетную среду.
Восстановленные операции поддерживают гипотезу о существовании инфраструктуры пожертвований вокруг официальной исходной базы адресов из дела ФБР. На выходе этой инфраструктуры видны крупные USDT-узлы, связи с адресом, помеченным как Gaza OTC, и отдельное финансовое окружение вокруг уже замороженных Tether кошельков.
Адреса меняются, сети меняются — но последовательность действий остается. Именно сочетание денежных маршрутов и технических пополнений комиссией позволили собрать разрозненные, на первый взгляд не связанные между собой эпизоды в одну понятную картину.
