For business
KYT office
Compliance solution to monitor risks, detect sanctions and ensure AML rules.
KYT office
Compliance solution to monitor risks, detect sanctions and ensure AML rules.
AML certification
How industry players can get up-to-date knowledge and professional certification.
AML certification
How industry players can get up-to-date knowledge and professional certification.
Comprehensive transaction analytics that helps to build graphs and trace funds.
Graph
Travel rule
(soon)
For personal use
Telegram bot
Bot for checking crypto for risks, providing AML reports.
Telegram bot
Bot for checking crypto for risks, providing AML reports.
Crypto recovery
Services are focused on tracking
and recovering crypto assets.
and recovering crypto assets.
Сrypto recovery
Services are focused on tracking
and recovery crypto assets.
and recovery crypto assets.
Docs and reports
All types of documents related
to cryptocurrency.
to cryptocurrency.
Docs and reports
All types of documents related
to cryptocurrency.
to cryptocurrency.
Portfolio tracker
Information about all assets and risk assessment in one place.
Portfolio tracker
Information about all assets and risk assessment in one place.
AML checks
Сhecking wallets and transactions
for illicit funds.
for illicit funds.
AML checks
Сhecking wallets and transactions
for illicit funds.
for illicit funds.
AML-сертификация
Актуальные знания в области AML/KYT от ведущих экспертов отрасли.
AML-сертификация
Актуальные знания в области AML/KYT от ведущих экспертов отрасли.
Graph
Визуализация перемещения активов
и связей между кошельками.
и связей между кошельками.
Graph
Визуализация перемещения активов
и связей между кошельками.
и связей между кошельками.
KYT Office
Мониторинг транзакций и кошельков для вашего отдела комплаенса.
KYT Office
Мониторинг транзакций и кошельков для вашего отдела комплаенса.
Для себя
Для Бизнеса
Travel rule
(Cкоро)
Телеграм-бот
Бот для проверки кошельков и транзакций с выдачей отчётов.
Телеграм-бот
Бот для проверки кошельков и транзакций с выдачей отчётов.
Возврат средств
Услуги по отслеживанию и возврату украденных криптоактивов.
Возврат средств
Услуги по отслеживанию и возврату украденных криптоактивов.
AML-проверки
Проверка кошельков и транзакций на наличие "грязной" криптовалюты.
AML-проверки
Проверка кошельков и транзакций на наличие "грязной" криптовалюты.
Портфолио трекер
Информация о всех активах и оценка рисков в одном месте.
Портфолио трекер
Информация о всех активах и оценка рисков в одном месте.
Отчёты
Все типы документов связанные
с криптовалютой.
с криптовалютой.
Отчёты
Все типы документов связанные
с криптовалютой.
с криптовалютой.
От перевода в 10 долларов до расчетных узлов с оборотом в миллионы: анализ блокчейн-данных показал, как устроен сбор и распределение криптопожертвований террористической организации ХАМАС.
12 февраля 2025 года на криптовалютный адрес, который, по данным ФБР, использовался для сбора пожертвований в пользу боевого крыла ХАМАС Al-Qassam, поступило 14 TRX —токенов сети TRON, которые нужны не для расчетов, а для оплаты комиссии за перевод (что-то вроде «бензина» для транзакции). Спустя 63 секунды с того же адреса на другой кошелек ушло 4 018,76 долларовых стейблкоинов USDT. Со стороны это выглядит как рядовой перевод, но именно он стал первой ниткой, потянув за которую аналитики BitOK распутали сеть из десятков адресов в трех блокчейнах и реконструировали инфраструктуру сбора и распределения денег ХАМАС. Рассказываем, как устроена эта схема.
Главное
Главное
- Изучены переводы в сетях TRON, Ethereum и BNB Smart Chain (BSC); основной актив — USDT.
- Из 69 проверенных адресов 14 выполняли роль «сборщиков»: на каждый стекались платежи от 20 до 55 разных отправителей.
- Один из крупных расчетных узлов получил 2,9 млн USDT из множества источников — то есть это не отдельный кошелек для пожертвований, а часть более широкой расчетной инфраструктуры.
- Есть вероятная связь с внебиржевым обменником в Газе.
- Пять адресов из смежной ветви схемы заблокировала компания Tether в апреле–мае 2026 года; на момент проверки на них оставалось 5,6 млн USDT.
- Схема продолжает работать: последние переводы по ней зафиксированы 4 и 6 сентября 2026 года.
Эта схема объединяет несколько проверенных эпизодов расследования.
Содержание:
- Два адреса, которые стали отправной точкой
- Хронология
- Воронка: сотни мелких платежей на входе
- Мост в BSC
- Как «объединяли» восемь кошельков
- Ядро схемы: крупные узлы и связь с обменником в Газе
- Пять кошельков, которые заблокировала Tether
- Схема продолжает работать
- Четыре паттерна, которые повторяются в каждой ветке
- Подводим итоги
Два адреса, которые стали отправной точкой
Два адреса, которые стали отправной точкой
Все началось с двух адресов из аффидевита ФБР от 25 июня 2025 года — официального письменного заявления под присягой, которое ведомство подает в суд как часть доказательной базы. Один адрес, TSWL3euRjZWXiFJgzuV9tYAGiwShtPWkZK, по данным ФБР, был предоставлен для пожертвований в пользу Al-Qassam. Второй, TA3aQxRwocYytqZBKqMPHPZT6pYvwGjLg1, значится в тех же материалах как операционный кошелек этой структуры.
На первый взгляд, адреса связывает только то, что оба принимали USDT. Но аналитики BitOK нашли более прочную связь: общий отправитель, TMMF2wEzg3ywHSWrAezttfdWpuBt1Az5TV, пополнял оба адреса токеном TRX. 12 февраля 2025 года адрес пожертвований получил 14 TRX, а уже через 63 секунды отправил 4 018,763491 USDT операционному кошельку.
Эта короткая связка — сначала TRX на комиссию, затем сам перевод USDT, — оказалась не случайностью, а типичной моделью работы организаторов системы: она повторяется. Благодаря этому аналитики нашли новые адреса.
Проверка похожих TRX-переводов вывела на еще одного отправителя, TUfDHCVAH368rTn1SvkJu8D4LvuNr4VCiB, который оплатил комиссии сразу пяти адресов, позже упомянутых в материалах ФБР, а также нескольких посредников одной из сборочных операций, о которых расскажем далее.
Так расследование перешло от двух опубликованных адресов к поиску повторяющихся ролей: кто получает деньги, кто оплачивает технические операции, и кто собирает поступления перед тем, как перевести их в другую сеть.
На первый взгляд, адреса связывает только то, что оба принимали USDT. Но аналитики BitOK нашли более прочную связь: общий отправитель, TMMF2wEzg3ywHSWrAezttfdWpuBt1Az5TV, пополнял оба адреса токеном TRX. 12 февраля 2025 года адрес пожертвований получил 14 TRX, а уже через 63 секунды отправил 4 018,763491 USDT операционному кошельку.
Эта короткая связка — сначала TRX на комиссию, затем сам перевод USDT, — оказалась не случайностью, а типичной моделью работы организаторов системы: она повторяется. Благодаря этому аналитики нашли новые адреса.
Проверка похожих TRX-переводов вывела на еще одного отправителя, TUfDHCVAH368rTn1SvkJu8D4LvuNr4VCiB, который оплатил комиссии сразу пяти адресов, позже упомянутых в материалах ФБР, а также нескольких посредников одной из сборочных операций, о которых расскажем далее.
Так расследование перешло от двух опубликованных адресов к поиску повторяющихся ролей: кто получает деньги, кто оплачивает технические операции, и кто собирает поступления перед тем, как перевести их в другую сеть.
Хронология
Хронология
Период | Что происходило |
Февраль 2025 | Пополнение TRX предшествовало переводу USDT между официально указанными адресами. |
Июль 2025 | Десять посредников собрали 2 981,23 USDT; далее деньги прошли через Ethereum и осели в BSC. |
Апрель–май 2026 | Tether заблокировал пять финансово связанных адресов отдельной ветви схемы. |
Июнь 2026 | Адрес с меткой Afaq перечислил 95 000 USDT одному из крупных расчетных узлов. |
Июль 2026 | Восемь адресов в BSC свели средства перед обратным обменом; в TRON поступило 122 449,59 USDT. |
Август–сентябрь 2026 | Продолжились поступления через HOT Bridge в BSC и отдельные расчеты через посредников в TRON. |
Важная оговорка: это не история про то, как одна и та же сумма полтора года путешествовала по блокчейну. Это хронология нескольких самостоятельных, но методологически похожих эпизодов.
Воронка: сотни мелких платежей на входе
Воронка: сотни мелких платежей на входе
Собранные данные говорят об одном: похоже, что деньги собирали не через один открытый кошелек, куда постоянно поступали пожертвования, а по-другому. На входе — множество адресов и небольших платежей, часть из которых прошла через короткую цепочку посредников. В некоторых подтвержденных цепочках видны поступления от кошельков бирж. На графе транзакций встречаются метки обменных сервисов — это показывает, через какой канал шли деньги, но не раскрывает личность того, кто их отправил.
Цифры масштаба: из 69 исследованных адресов у 14 было от 20 до 55 существенных отправителей. Эти 14 «профилей-сборщиков» получили 488 переводов на 268 518,22 USDT, причем 420 из этих переводов не превышали 1 000 USDT (в подсчет включались поступления от 10 USDT). У остальных 39 адресов был только один существенный отправитель — то есть роли внутри схемы различались: одни адреса собирали деньги от многих, другие просто передавали их дальше.
Показательный пример — адрес TXUiAJhWE9tuaUw7CN2H95dhs3CM73sDWE. Десять разных посредников присылали ему по одному платежу USDT каждый, причем перед этим за 15–63 секунды каждый из них получал TRX на комиссию — все тот же узнаваемый почерк. Собрав 2 981,233617 USDT, TXUi отправил всю сумму в Bridgers — сервис, который меняет одну сеть или криптовалюту на другую, то есть работает как мост между блокчейнами. Публичных объявлений о сборе пожертвований для этих адресов не найдено, поэтому их «донатная» функция остается предположением, а не доказанным фактом — но сама схема сборки выглядит организованной.
Цифры масштаба: из 69 исследованных адресов у 14 было от 20 до 55 существенных отправителей. Эти 14 «профилей-сборщиков» получили 488 переводов на 268 518,22 USDT, причем 420 из этих переводов не превышали 1 000 USDT (в подсчет включались поступления от 10 USDT). У остальных 39 адресов был только один существенный отправитель — то есть роли внутри схемы различались: одни адреса собирали деньги от многих, другие просто передавали их дальше.
Показательный пример — адрес TXUiAJhWE9tuaUw7CN2H95dhs3CM73sDWE. Десять разных посредников присылали ему по одному платежу USDT каждый, причем перед этим за 15–63 секунды каждый из них получал TRX на комиссию — все тот же узнаваемый почерк. Собрав 2 981,233617 USDT, TXUi отправил всю сумму в Bridgers — сервис, который меняет одну сеть или криптовалюту на другую, то есть работает как мост между блокчейнами. Публичных объявлений о сборе пожертвований для этих адресов не найдено, поэтому их «донатная» функция остается предположением, а не доказанным фактом — но сама схема сборки выглядит организованной.
Мост в BSC
Мост в BSC
В эпизоде с TXUi деньги не остались в TRON. Получатель в другой сети, адрес 0xadb511a2992ba3fc39a42d576e63bd9db8f1812d, сначала получил 1,106942 ETH — это уже сеть Ethereum, — а затем инициировал обмен и получил 2 993,110491 USDT в BSC, то есть в сети BNB Smart Chain. В других разобранных случаях подтверждены и прямые переходы из TRON сразу в BSC, без промежуточного шага через Ethereum.
В отдельной выборке за 2026 год нашлось 64 выплаты Bridgers в BSC на общую сумму 396 801,64 USDT. Для 54 из них, на 357 670,04 USDT, удалось найти точные исходные заявки с 50 адресов в TRON — то есть проследить, откуда именно пришли деньги. После моста средства снова проходили через посредников, сходились в одних и тех же узлах и расходились между сервисными адресами, вероятными депозитами на биржи и обратными обменами. Один из вариантов объяснения этой структуры — то, что часть адресов обслуживает внебиржевые (OTC) расчеты, то есть прямой обмен крипты на наличные без участия публичной биржи. Но это лишь одно из объяснений, а не подтвержденная роль каждого конкретного получателя.
Стоит отдельно сказать про саму смену сети. USDT в BSC — это не тот же токен, что USDT в TRON, а его «перепривязанная» версия, Binance-Peg USDT: она выпущена Binance, но обеспечена реальными USDT в резерве один к одному. Смена сети усложняет расследование, так как приходится сопоставлять данные из разных блокчейнов, но не делает деньги невидимыми и не гарантирует защиту от блокировки.
Особенно часто на графе повторяются три адреса-узла в BSC:
В отдельной выборке за 2026 год нашлось 64 выплаты Bridgers в BSC на общую сумму 396 801,64 USDT. Для 54 из них, на 357 670,04 USDT, удалось найти точные исходные заявки с 50 адресов в TRON — то есть проследить, откуда именно пришли деньги. После моста средства снова проходили через посредников, сходились в одних и тех же узлах и расходились между сервисными адресами, вероятными депозитами на биржи и обратными обменами. Один из вариантов объяснения этой структуры — то, что часть адресов обслуживает внебиржевые (OTC) расчеты, то есть прямой обмен крипты на наличные без участия публичной биржи. Но это лишь одно из объяснений, а не подтвержденная роль каждого конкретного получателя.
Стоит отдельно сказать про саму смену сети. USDT в BSC — это не тот же токен, что USDT в TRON, а его «перепривязанная» версия, Binance-Peg USDT: она выпущена Binance, но обеспечена реальными USDT в резерве один к одному. Смена сети усложняет расследование, так как приходится сопоставлять данные из разных блокчейнов, но не делает деньги невидимыми и не гарантирует защиту от блокировки.
Особенно часто на графе повторяются три адреса-узла в BSC:
- 0xdbe8b8df665dd2c43542823c4a5d286804e42d62
- 0xf4b4c31ba7e376df505644e0eb1e6dbca6e124eb
- 0xe732ae59f1929b9c568b6809fb47d1cd39591015 (далее по тексту — E7).
Это участники целой сети переводов, а не установленный список адресов одного владельца.
Как «объединяли» восемь кошельков
Как «объединяли» восемь кошельков
20 июля 2026 года восемь разных адресов в BSC перечислили средства на один адрес, 0xf13aa13d424b660a8764bf80e3c7271ecc61921c. Тот, в свою очередь, отправил в Bridgers 122 696,47917 USDT — причем в самой заявке на обмен были указаны и получатель в TRON, и итоговая сумма выплаты: 122 449,586211 USDT.
Через 34 минуты 58 секунд эту сумму получил адрес TWhjBHXPrmBd42Ybth4Kw9aS3RRWKnAQGM. Важная деталь: еще до подачи заявки на обмен три кошелька из исходной TRON-ветви перечислили этому получателю в сумме 84,946792 TRX — то есть заранее оплатили ему будущую комиссию. Получатель был подготовлен заранее, а значит, речь идет не о случайном совпадении, а о согласованных действиях.
Дальше 120 780 USDT ушли на адрес TYRbtJsqfgCvyRLeykLjnqeSjtoHiXeCE7, а оставшиеся 1 669,586211 USDT — второму получателю. Так одна конкретная выплата вышла в куда более крупную расчетную среду, о которой поговорим далее.
Через 34 минуты 58 секунд эту сумму получил адрес TWhjBHXPrmBd42Ybth4Kw9aS3RRWKnAQGM. Важная деталь: еще до подачи заявки на обмен три кошелька из исходной TRON-ветви перечислили этому получателю в сумме 84,946792 TRX — то есть заранее оплатили ему будущую комиссию. Получатель был подготовлен заранее, а значит, речь идет не о случайном совпадении, а о согласованных действиях.
Дальше 120 780 USDT ушли на адрес TYRbtJsqfgCvyRLeykLjnqeSjtoHiXeCE7, а оставшиеся 1 669,586211 USDT — второму получателю. Так одна конкретная выплата вышла в куда более крупную расчетную среду, о которой поговорим далее.
Ядро схемы: крупные узлы и связь с обменником в Газе
Ядро схемы: крупные узлы и связь с обменником в Газе
Адрес TYRbt — не конечная точка и не отдельный кошелек для донатов. За всю исследованную историю на него пришло 2 910 574 USDT поступлений, и разобранная выше выплата через мост дала лишь около 4,15% этого объема. Остальные деньги поступали от других отправителей — то есть перед нами узел куда более широкой расчетной инфраструктуры.
Два крупнейших получателя денег от TYRbt — адреса TDnkmNiwdgU1CzuZoFLpw3TaYJm6FbxhFg и TNdRJJSzvNjvtSeTBUBXrZJWtfxKCKx9VA — вместе получили 2 598 903 USDT. Еще один узел, TBPRSb5Y9fvSGELvtD4U8FWtKcE2FYiJ7N, направил первому из них 5 904 832 USDT за 32 перевода, а второму — 1 453 525 USDT за девять переводов. Повторяемость переводов говорит об устойчивых, регулярных расчетных отношениях между адресами — эти суммы нельзя суммировать так, будто речь о независимом разовом финансировании.
На этом этапе всплывает вероятная связь с внебиржевым обменником в Газе. Адрес TPXosjuaM5myTcykZBxr5kdmo71epzSFy5 помечен как Afaq International Exchange / Gaza OTC. Этот адрес напрямую перечислил 60 000 USDT 13 июня и 35 000 USDT 17 июня на адрес TMxjKARz35a7hECvLF52dNTtbt8795c38Y, который, в свою очередь, регулярно переводит деньги на TNdRJ.
Два крупнейших получателя денег от TYRbt — адреса TDnkmNiwdgU1CzuZoFLpw3TaYJm6FbxhFg и TNdRJJSzvNjvtSeTBUBXrZJWtfxKCKx9VA — вместе получили 2 598 903 USDT. Еще один узел, TBPRSb5Y9fvSGELvtD4U8FWtKcE2FYiJ7N, направил первому из них 5 904 832 USDT за 32 перевода, а второму — 1 453 525 USDT за девять переводов. Повторяемость переводов говорит об устойчивых, регулярных расчетных отношениях между адресами — эти суммы нельзя суммировать так, будто речь о независимом разовом финансировании.
На этом этапе всплывает вероятная связь с внебиржевым обменником в Газе. Адрес TPXosjuaM5myTcykZBxr5kdmo71epzSFy5 помечен как Afaq International Exchange / Gaza OTC. Этот адрес напрямую перечислил 60 000 USDT 13 июня и 35 000 USDT 17 июня на адрес TMxjKARz35a7hECvLF52dNTtbt8795c38Y, который, в свою очередь, регулярно переводит деньги на TNdRJ.
Еще один граф от BitOK. Внизу слева на нем — входящие сервисные направления и посредники, ближе к центру — Bridgers, справа — крупные расчетные узлы вроде TYRbt, TDnkm и TNdRJ. Сверху слева видны связи с отдельными ранее замороженными адресами, о которых — в следующем разделе.
Пять кошельков, которые заблокировала Tether
Пять кошельков, которые заблокировала Tether
В соседней ветви той же расчетной инфраструктуры аналитики обнаружили пять связанных между собой адресов, которые компания Tether — эмитент USDT — заблокировала в апреле–мае 2026 года. У Tether есть техническая возможность сделать это через код смарт-контракта: по сути, «выключить» токены на конкретном адресе, лишив его владельца возможности ими воспользоваться. На момент проверки 6 сентября на этих пяти адресах суммарно оставалось 5 615 874,51 USDT:
Адрес | Дата блокировки | Остаток USDT |
TH8PJ6jXCcd7pWkkxXz1YNW6ekGrvRaaK9 | 14.04.2026 | 116 900,00 |
TDysnVPxhbLPYtZ3Z5G9dDqPz3VwUjvE2M | 05.05.2026 | 36 947,70 |
TRrsnQn88B1cxxNQFdcQRMFbaDybKw1MiP | 05.05.2026 | 8 506,55 |
TUpYaDubGgDoY1n9oWc2dKpi8Q6b1os39u | 06.05.2026 | 2 453 520,26 |
TEgjDKCESf7kp11ezVyh36DN9MGBX6eXBw | 05.05.2026 | 3 000 000,00 |
Эти пять адресов связывает не только совпадение дат блокировки. Один отправитель, TBe54YQzzLRPJdiM4wTdB2wZT1TF89Jhet, перечислил 3 млн USDT адресу TEgj и переводил средства адресу TRrs, а тот, в свою очередь, отправлял их адресу TDys. Сам факт блокировки TEgj подтвержден событием смарт-контракта Tether.
Есть и конкретное пересечение с OTC-окружением из предыдущего раздела: адрес TDbWRay1cC41EUAgUjg3LJAgpAUiznjjLE получил 150 000 USDT от адреса TH8 еще до его блокировки, а также 81 800 USDT от того же адреса с меткой Afaq. Его дальнейшие контрагенты пересекаются с маршрутами к крупным расчетным узлам, описанным выше. Это реальные финансовые связи — но не доказательство того, что все эти адреса делят одну «кассу».
Решающая деталь нашлась при проверке остатков на счетах. Между отдельными переводами баланс TDbWRay падал до 1,50 USDT — то есть деньги проходили через этот адрес транзитом, не накапливаясь. Похожая картина — почти нулевой баланс — обнаружилась и на другом посреднике. Это значит, что девять проверенных путей не подтверждают сквозной перенос десятков или сотен тысяч долларов из замороженной ветви в основную расчетную группу: общие посредники связывают разные участки карты между собой, но крупное непрерывное финансирование по этим конкретным путям не установлено.
При этом за пределами блокировки сохранился отдельный, вполне живой остаток. Незамороженный адрес TX6SUMqbC6XixspULVDRMS2dtynAVX7ibh напрямую получил от адреса TUpYa 61 100 USDT, а отправил обратно лишь 100 USDT. По восстановленной полной истории в его остатке сохранялось 61 000–61 100 USDT из этих поступлений; на дату проверки общий баланс адреса составлял 71 128,75 USDT.
Итог по этой ветви: выявлено связанное финансовое окружение вокруг ранее замороженных кошельков и отдельный незаблокированный остаток рядом с ними. Но сама по себе заморозка не устанавливает ни владельца адресов, ни причину ограничений, ни то, что деньги принадлежат именно ХАМАС.
Есть и конкретное пересечение с OTC-окружением из предыдущего раздела: адрес TDbWRay1cC41EUAgUjg3LJAgpAUiznjjLE получил 150 000 USDT от адреса TH8 еще до его блокировки, а также 81 800 USDT от того же адреса с меткой Afaq. Его дальнейшие контрагенты пересекаются с маршрутами к крупным расчетным узлам, описанным выше. Это реальные финансовые связи — но не доказательство того, что все эти адреса делят одну «кассу».
Решающая деталь нашлась при проверке остатков на счетах. Между отдельными переводами баланс TDbWRay падал до 1,50 USDT — то есть деньги проходили через этот адрес транзитом, не накапливаясь. Похожая картина — почти нулевой баланс — обнаружилась и на другом посреднике. Это значит, что девять проверенных путей не подтверждают сквозной перенос десятков или сотен тысяч долларов из замороженной ветви в основную расчетную группу: общие посредники связывают разные участки карты между собой, но крупное непрерывное финансирование по этим конкретным путям не установлено.
При этом за пределами блокировки сохранился отдельный, вполне живой остаток. Незамороженный адрес TX6SUMqbC6XixspULVDRMS2dtynAVX7ibh напрямую получил от адреса TUpYa 61 100 USDT, а отправил обратно лишь 100 USDT. По восстановленной полной истории в его остатке сохранялось 61 000–61 100 USDT из этих поступлений; на дату проверки общий баланс адреса составлял 71 128,75 USDT.
Итог по этой ветви: выявлено связанное финансовое окружение вокруг ранее замороженных кошельков и отдельный незаблокированный остаток рядом с ними. Но сама по себе заморозка не устанавливает ни владельца адресов, ни причину ограничений, ни то, что деньги принадлежат именно ХАМАС.
Схема продолжает работать
Схема продолжает работать
Активность схемы фиксировали и в конце лета, и в начале сентября 2026 года. Четыре посредника после выплат через HOT Bridge (еще один сервис обмена между сетями, аналог Bridgers) перечислили около 7 714,75 USDT на уже знакомый повторно используемый узел E7 в BSC. Это отдельная ветвь, а не дополнительные выплаты через Bridgers. Один из проверенных переводов в этой цепочке состоялся 4 сентября.
6 сентября адрес TNdRJ отправил 8 982 USDT адресу TFwpsGU2YQAdRTx4w7tjTSUifGTSqiPLv6. Дальше через еще двух посредников последовали переводы на 8 928 USDT, 8 888 USDT и 18 930 USDT. Вся цепочка заняла девять минут девять секунд. Эти же посредники и раньше взаимодействовали друг с другом: перед USDT-переводами они напрямую оплачивали друг другу комиссию в TRX — тот самый узнаваемый почерк схемы с самого начала расследования.
Рост суммы в последнем переводе (18 930 USDT против 8 982 в начале цепочки) объясняется смешанным балансом получателей, а не тем, что исходная сумма увеличилась сама по себе. При восстановлении полных историй по конкретным событиям выяснилось, что расчетная доля именно первого входящего перевода в последнем исходящем составила от 3 462,79 до 8 888 USDT, а не все 18 930. Это подтверждает, что расчетная ветвь действительно продолжает работать — но не позволяет приписать ей чужие поступления.
6 сентября адрес TNdRJ отправил 8 982 USDT адресу TFwpsGU2YQAdRTx4w7tjTSUifGTSqiPLv6. Дальше через еще двух посредников последовали переводы на 8 928 USDT, 8 888 USDT и 18 930 USDT. Вся цепочка заняла девять минут девять секунд. Эти же посредники и раньше взаимодействовали друг с другом: перед USDT-переводами они напрямую оплачивали друг другу комиссию в TRX — тот самый узнаваемый почерк схемы с самого начала расследования.
Рост суммы в последнем переводе (18 930 USDT против 8 982 в начале цепочки) объясняется смешанным балансом получателей, а не тем, что исходная сумма увеличилась сама по себе. При восстановлении полных историй по конкретным событиям выяснилось, что расчетная доля именно первого входящего перевода в последнем исходящем составила от 3 462,79 до 8 888 USDT, а не все 18 930. Это подтверждает, что расчетная ветвь действительно продолжает работать — но не позволяет приписать ей чужие поступления.
Четыре паттерна, которые повторяются в каждой ветке
Четыре паттерна, которые повторяются в каждой ветке
- Много мелких входов — один собранный выход. Часть адресов аккумулирует десятки поступлений, а транзитные посредники передают USDT дальше, почти не оставляя остатка на счете.
- Техническое пополнение предшествует денежному переводу. И в сборке через TXUi, и в обратной ветви через BSC получатель сначала получает TRX на комиссию — и лишь после приходит сам перевод USDT. Это позволяет увидеть подготовку операции заранее.
- Смена сети не отменяет повторяемость ролей. После моста через Bridgers в BSC снова возникают те же роли: посредники, сборочные адреса, узлы распределения. Часть потока уходит к сервисным контрагентам, часть возвращается через мост обратно в TRON.
- Крупные адреса работают с несколькими источниками. Повторные платежи и смешанные остатки больше похожи на расчетную инфраструктуру, которая обслуживает разных клиентов, чем на простой кошелек для хранения одних и тех же денег.
Подводим итоги
Подводим итоги
Главная находка этого расследования — реконструкция повторяющейся организации движения денег ХАМАС: небольшие поступления, консолидация, переход в другую сеть, повторная сборка на новом месте и, наконец, выход в куда более крупную расчетную среду.
Восстановленные операции поддерживают гипотезу о существовании инфраструктуры пожертвований вокруг официальной исходной базы адресов из дела ФБР. На выходе этой инфраструктуры видны крупные USDT-узлы, связи с адресом, помеченным как Gaza OTC, и отдельное финансовое окружение вокруг уже замороженных Tether кошельков.
Адреса меняются, сети меняются — но последовательность действий остается. Именно сочетание денежных маршрутов и технических пополнений комиссией позволили собрать разрозненные, на первый взгляд не связанные между собой эпизоды в одну понятную картину.
Восстановленные операции поддерживают гипотезу о существовании инфраструктуры пожертвований вокруг официальной исходной базы адресов из дела ФБР. На выходе этой инфраструктуры видны крупные USDT-узлы, связи с адресом, помеченным как Gaza OTC, и отдельное финансовое окружение вокруг уже замороженных Tether кошельков.
Адреса меняются, сети меняются — но последовательность действий остается. Именно сочетание денежных маршрутов и технических пополнений комиссией позволили собрать разрозненные, на первый взгляд не связанные между собой эпизоды в одну понятную картину.
