FBI przejmuje serwer Hamasu w São Paulo. Jak Amerykanie namierzają i zamrażają kryptowaluty terrorystów
1 września 2026 r. Departament Sprawiedliwości USA odtajnił pięć wniosków o nakazy zajęcia: 560 tys. dolarów w kryptowalutach oraz domeny i serwery, przez które Brygady al-Kassam, zbrojne skrzydło Hamasu, zbierały darowizny od sympatyków na całym świecie. Najnowszy z tych dokumentów, podpisany 18 sierpnia 2026 r. przez sędziego magistrackiego Matthew J. Sharbaugha w Waszyngtonie, dotyczy pojedynczego serwera w brazylijskim centrum danych, dzierżawionego od londyńskiej spółki. Czterdzieści trzy strony przysięgłego oświadczenia agenta FBI, miejscami zaczernione, są ostatnim rozdziałem historii, która zaczęła się półtora roku wcześniej od jednego uprzejmego e-maila, a której pierwszy rozdział, z 25 marca 2025 r., leży obok w tym samym pakiecie, razem z trzema pośrednimi. Czytane razem, pokazują od środka, jak państwo ściga pieniądz, który z założenia nie ma właściciela, i dlaczego każdy środek ostrożności, którym Hamas uspokajał darczyńców, zamienił się w ślad.
List od Brygad al-Kassam
10 lutego 2025 r. ktoś w Stanach Zjednoczonych napisał na adres fund@alqassam.ps z pytaniem, jak przekazać darowiznę Brygadom al-Kassam. Kilka godzin później przyszła odpowiedź po arabsku. Zaczynała się od wersetu z Koranu o walce majątkiem i życiem na drodze Boga, potem następowało pozdrowienie („Droga siostro”), a po nim instrukcja, uprzejma i cierpliwa jak poradnik banku dla początkujących. Jeśli nie znasz się na walutach cyfrowych, poproś znajomego albo idź do kantoru. Pokaż mu tylko adres portfela, nie mów, dla kogo jest przelew. Oto adres w sieci Tron, standard TRC20, waluta USDT. Skopiuj bez spacji, najlepiej zeskanuj kod QR. Adres jest jednorazowy, zmieniamy go regularnie dla twojego bezpieczeństwa; przy kolejnej wpłacie napisz ponownie. Nie używaj Binance do samego przelewu, bo zablokują ci portfel: kupić tam możesz, ale wyślij przez Trust Wallet, RedotPay, OKX, Kast albo Bybit. I jeszcze jedno: nasza odpowiedź może wpaść ci do spamu.
Nadawca nie wiedział, że pisze do informatora FBI. Wiedział natomiast doskonale, jak wygląda współczesny system przeciwdziałania praniu pieniędzy, i punkt po punkcie tłumaczył darczyńcom, jak go obejść. Rzadko zdarza się, by strona w sporze tak precyzyjnie opisała mapę pola bitwy przeciwnika. Po jednej stronie stoi organizacja, która potrzebuje pieniędzy i musi w tym celu ujawnić adres. Po drugiej stoi państwo, które ma nieograniczony zapas cierpliwych ludzi gotowych o ten adres zapytać, publiczną księgę wszystkich transakcji, jakie kiedykolwiek wykonano, i numer telefonu do spółki, która emituje walutę. Wszystko, co wydarzyło się później, jest konsekwencją tej asymetrii.
Hamas znał ją zresztą z własnego doświadczenia. W 2019 r. Brygady zaczęły zbierać bitcoiny, najpierw na Telegramie, potem na własnych stronach: alqassam.net, alqassam.ps i qassam.ps. Chwaliły się, że darowizny są niewykrywalne, publikowały filmy instruktażowe i generowały osobny adres dla każdego darczyńcy. W sierpniu 2020 r. Departament Sprawiedliwości ogłosił zajęcie około 150 kont i przyznał wprost, że FBI potajemnie przejęło infrastrukturę alqassam.net i przez pewien czas samo ją prowadziło. Kto wpłacał w tym okresie, wpłacał na konto rządu Stanów Zjednoczonych. W kwietniu 2023 r. Hamas ogłosił, że rezygnuje z bitcoina ze względu na bezpieczeństwo darczyńców. Jak się okaże, wyciągnął z tej lekcji wniosek dokładnie odwrotny do właściwego.
Adres, który przyjął 25 211 dolarów
Anonimowość kryptowalut jest nieporozumieniem językowym. Blockchain to publiczna księga, w której każdy przelew zapisany jest na zawsze, z kwotą, godziną, nadawcą i odbiorcą; jedyne, czego w niej brakuje, to nazwisko przy adresie, ciągu liter i cyfr pełniącym rolę numeru konta. Kto umie czytać księgę, widzi ruch pieniądza w całości. Kto chce wiedzieć, czyj to pieniądz, musi znaleźć miejsce, w którym adres spotyka się z dokumentem tożsamości. Analityka blockchain jest sztuką znajdowania takich miejsc, i marcowe oświadczenie agenta specjalnego z biura terenowego FBI w Albuquerque (nazwisko zaczernione; z życiorysu wiadomo, że to były oficer łączności piechoty morskiej, w FBI od 2022 r., jeden z dwóch agentów w tym biurze uprawnionych do śledzenia kryptowalut w komercyjnym oprogramowaniu analitycznym) jest jej instruktażem na żywym przykładzie.
Adres, który informator dostał 10 lutego, nazwany w dokumencie Adresem Darowizn 1, przyjął łącznie 25 211 USDT: według czerwcowego oświadczenia w 34 wpłatach między 11 a 21 lutego, choć list zapowiadał, że adres jest ważny na jeden przelew. Obietnicy bezpieczeństwa nie dotrzymywali nawet ci, którzy ją składali. Z tej kwoty 23 618 USDT przepłynęło na jeden adres, który agent ochrzcił Portfelem Operacyjnym Brygad al-Kassam. Około 1 600 USDT trafiło do klastra adresów, który oprogramowanie analityczne przypisało giełdzie BTCTurk ze Stambułu; agent zaznacza, że o dane do niej nie wystąpił, bo bał się, że giełda uprzedzi klientów. Portfel Operacyjny okazał się sercem sieci: między 28 października 2024 r. a 3 marca 2025 r. wpłynęło na niego około 1 349 725 USDT, przeciętnie 75 tys. USDT tygodniowo. Organizacja, która generuje osobny adres dla każdego darczyńcy, musi te pieniądze w końcu zebrać w jednym miejscu, żeby je wydać; ruch z wielu adresów do wspólnego punktu zdradza, że wszystkie należą do jednej ręki. Sądy federalne przyjęły ten sposób wnioskowania, zwany klastrowaniem, jako podstawę ustaleń dowodowych już w 2020 r., w sprawie United States v. Gratkowski, i agent się na nią powołuje.
Klucz do sieci znalazł się jednak nie w przepływie pieniędzy, lecz w opłatach za ich przesyłanie. Każdy przelew USDT w sieci Tron wymaga drobnej prowizji w natywnym tokenie TRX, tak jak samochód wymaga paliwa, a paliwo trzeba najpierw dowieźć na adres. 16 lutego 2025 r. szef wywiadu bezpieczeństwa narodowego w firmie analitycznej, z której narzędzi korzysta FBI (w dokumencie: Osoba nr 1), pokazał agentowi, że prowizje za wypłaty z kolejnych adresów darowizn opłacano z jednego i tego samego portfela. Agent nazwał go Portfelem Gazowym. Ponad 92 procent wypłat z Portfela Operacyjnego również zasilał ten portfel. Brygady zmieniały adres dla każdego darczyńcy, ale ktoś musiał każdy z tych adresów zatankować, i tankował je zawsze z jednego kanistra. Rotacja adresów, reklamowana jako środek bezpieczeństwa, istotnie unieszkodliwiła statyczne listy blokowanych adresów w systemach giełd. Nie unieszkodliwiła niczego innego.
Od tej chwili śledztwo stało się arytmetyką. Drugi informator, CHS-2, wyprosił z fund@alqassam.ps siedem kolejnych adresów: wszystkie tankowano z Portfela Gazowego, wszystkie oddawały większość środków Portfelowi Operacyjnemu, wszystkie żyły po kilka dni i były opróżniane do zera. Przez dwa tygodnie, od 14 do 28 lutego, przyjęły około 45 948 USDT, podczas gdy Portfel Operacyjny dostał w tym czasie 155 448 USDT z innych źródeł. Agent wskazał następnie osiem dalszych adresów, których nie podał żaden informator, wyłącznie na podstawie wspólnego paliwa i identycznego wzorca zachowania. Skoro każdy adres był jednorazowy i wydawany na prośbę, FBI zbierało je po prostu prosząc; agent pisze o trzech źródłach osobowych w samym marcu 2025 r. i o kolejnych, które dostawały adresy jeszcze w lutym 2026 r. Środek bezpieczeństwa stał się kanałem wywiadowczym, a każdy nowy adres próbką.
Granica księgi blockchain
Blockchain zapisuje to, co dzieje się między adresami, i milczy o tym, co dzieje się wewnątrz giełdy. Gdy dwóch klientów tej samej platformy przesyła sobie środki, transakcja istnieje tylko w jej wewnętrznych rejestrach i na publicznym łańcuchu nie zostawia śladu. Agent przyznaje to wprost: tu narzędzia otwarte przestają działać, a śledztwo jest zdane na łaskę operatora. Z dokumentów Binance wynikało, że część pieniędzy z Portfela Operacyjnego krążyła właśnie tak, między kontami różnych osób; agent wnosi z tego, że Brygady dysponują siecią finansistów, którzy serią przelewów zacierają ostateczne przeznaczenie darowizn. Inna część trafiała na dwa adresy o profilu typowym dla regionalnych kantorów pozagiełdowych, przyjmujących wiele dużych przelewów z wielu źródeł w krótkim czasie. Te adresy pozostają w dokumencie bez właściciela, z przypisem, że FBI nad nim pracuje.
Brzeg księgi jest zarazem miejscem, w którym adres po raz pierwszy spotyka dokument. Kryptowaluta jest bezużyteczna, dopóki nie zostanie wymieniona na coś, co można wydać, a wymiana odbywa się przez giełdy i kantory podlegające obowiązkom identyfikacji klienta. Teczka KYC na giełdzie jest nazwiskiem stojącym za adresem, i dokładnie dlatego list Brygad odradzał wysyłanie z Binance. Binance wydało FBI dane trzech użytkowników, którzy przyjmowali środki bezpośrednio z Portfela Operacyjnego lub Portfela Gazowego. Pierwszy otrzymał 60 800 USDT w dziesięciu przelewach, legitymował się paszportem palestyńskim, a logował się z Izraela i Gazy; 12 marca 2025 r. leżało na jego koncie około 106 tys. USDT. Drugi otrzymał 11 800 USDT, miał tureckie prawo jazdy i logowania z Turcji, Egiptu i Omanu. Trzeci otrzymał 111 tys. USDT w czternastu przelewach między 23 stycznia a 6 marca, posiadał prawo stałego pobytu w Turcji i logował się z Holandii. Oświadczenie nie zarzuca tym osobom niczego ponad to, że ich konta przyjmowały środki z sieci zbiórki; kim są i jaką rolę pełnią, dokument nie rozstrzyga i ja także nie będę. Wymowna jest geografia: darczyńcy pisali z całego świata, pieniądze zbierały się w Tronie, a wychodziły przez konta rozpięte między Gazą, Anatolią, Zatoką i Holandią. Taki rozrzut logowań jest sam w sobie alarmem dla systemu monitoringu transakcji i, jak pisze agent, Binance zablokowało te konta z własnej inicjatywy, zanim FBI o to poprosiło. Giełda, której Brygady kazały unikać, okazała się najszybszym wykonawcą. Ta sama giełda w ugodzie z Departamentem Sprawiedliwości z listopada 2023 r. przyznała, że przetwarzała transakcje na rzecz Brygad al-Kassam. O tym przyznaniu i o tym, że pranie odbywa się nie w łańcuchu, lecz obok niego, w wewnętrznej księdze giełdy, pisałem przy okazji wniosku Binance o licencję MiCA. Dwa lata po ugodzie ta sama księga, otwarta na wezwanie, była dla FBI najcenniejszym źródłem w sprawie.
Czterdzieści pięć godzin
Był jeszcze trzeci gracz, o którym marcowe oświadczenie wspomina mimochodem, a który w praktyce okazał się rozstrzygający. USDT emituje spółka Tether Limited z Brytyjskich Wysp Dziewiczych (tak w definicjach wszystkich oświadczeń; czerwcowe w części o jurysdykcji podaje już Salwador, dokąd spółka ogłosiła w 2025 r. przeniesienie siedziby). Kontroluje ona kod tokena i może wpisać dowolny adres na czarną listę, czyniąc leżące na nim środki bezużytecznymi dla posiadacza klucza. Stablecoin, waluta wybrana dla wygody, szybkości i stałego kursu, ma właściciela, a właściciel odbiera telefony od organów ścigania. Bitcoin nie ma takiego numeru telefonu. Właściciel jest zresztą postacią dwuznaczną: w marcu 2025 r. pisałem o USDT jako o dolarze cienia, walucie państw objętych sankcjami i finansowego półświatka, i o tym, że Tether blokuje adresy z reguły wtedy, gdy pieniądze już z nich odpłynęły. Hamas porzucił bitcoina dla bezpieczeństwa darczyńców i wybrał walutę, którą można zamrozić jednym poleceniem. To jest ów wniosek odwrotny do właściwego.
Najbardziej pouczający fragment marcowego dokumentu mieści się w jednym akapicie. Rankiem 10 marca 2025 r. agent wysłał do Tether wniosek o zamrożenie osiemnastu adresów. Leżało na nich wtedy około 90 tys. USDT. Tether wykonał blokadę około 45 godzin później, rankiem 12 marca. W tym czasie większość pieniędzy zdążyła odpłynąć; zamrożono około 2 740 USDT. Trzy procent. To nie był wypadek przy pracy. Według danych ChainArgos, które przytaczałem w tamtym tekście, do połowy 2024 r. na adresy ostatecznie zablokowane przez Tether wpłynęło łącznie 153 mld dolarów, a zamrożono 1,4 mld. W styczniu 2026 r. pisałem z kolei, że przy wcześniejszych adresach Hamasu Tether blokował portfele średnio 28 dni przed nakazem sądu, czyli działał, zanim nadeszło pismo. Tu pismo nadeszło pierwsze, a odpowiedź zajęła 45 godzin; przelew w sieci Tron zajmuje sekundy. Reszta zajętej w marcu kwoty, w sumie około 201,4 tys. dolarów, pochodziła z kont na Binance, gdzie giełda zadziałała sama i szybciej.
Wniosek jest niewygodny dla obu stron. Dla organów ścigania: w świecie, w którym przelew trwa sekundy, a odpowiedź emitenta dwie doby, o skuteczności decyduje nie sąd, lecz procedura wewnętrzna prywatnej spółki. Dla sieci zbiórki: jej pieniądze przeżyły tylko dlatego, że były w ruchu, a ruch jest tym, co księga zapisuje najdokładniej. Agent tłumaczy sądowi, dlaczego prosi o nakaz zajęcia, a nie o postanowienie zabezpieczające: kryptowaluta przesuwa się szybciej niż pieniądz bankowy, nie da się jej cofnąć, a raz wyprowadzona może zostać wymieniona na walutę zapewniającą prywatność, po której ślad ginie. Sam nakaz wykonują Tether i Binance, w dogodnym dla siebie czasie, i dlatego wolno go wykonać o każdej porze dnia i nocy. Binance przelewa saldo kont na portfel FBI. Tether nie może przesunąć tokenów z cudzego adresu, więc załącznik do czerwcowego nakazu każe mu je spalić i wyemitować równowartość na adres wskazany przez organy ścigania. Rzecz, przeciwko której toczy się postępowanie, zostaje unicestwiona i stworzona na nowo w ręku państwa; trudno o czystszą ilustrację tego, czym w świecie tokenów jest zajęcie. Kolejne dwa nakazy, z 25 czerwca i 10 października 2025 r., podniosły łączną kwotę zajęć do około 560 tys. dolarów. Według sierpniowego oświadczenia sieć przyjęła do listopada 2025 r. ponad 3 miliony. Różnica między tymi liczbami jest miarą tego, co państwo może: zabiera to, co jeszcze leży na adresie w chwili, gdy go zidentyfikuje. Reszta zdążyła odpłynąć, zanim ktokolwiek zapytał.
Czerwcowe oświadczenie dopisuje do tego epilog. Po blokadzie z 12 marca darczyńcy przez kilka dni nadal wpłacali na zamrożony Portfel Operacyjny, zapewne dlatego, że adres krążył w listach, a nikt nie odwołał instrukcji. Od około 17 marca przepływy poszły przez nowe portfele, założone w kilka minut, jak zawsze. Prowizje za nie płacono z tego samego Portfela Gazowego. Sieć zorientowała się, że jest zamrożona, i wymieniła wszystko, co widać: adresy, portfel zbiorczy, trasy. Nie wymieniła kanistra, bo kanister nie był w jej rozumieniu częścią systemu bezpieczeństwa, tylko logistyką. Do 21 marca na Portfel Operacyjny wpłynęło łącznie około 1 574 719 USDT, o blisko 225 tys. więcej niż według stanu z 3 marca.
To samo oświadczenie, drugie z trzech dotyczących tokenów, pokazuje też dalszą drogę pieniędzy. Część skonsolidowanych darowizn przepuszczono przez Bridgers.xyz, automatyczny kantor międzyłańcuchowy: USDT zamieniono na ether i z powrotem na USDT, co ma przerwać ciągłość zapisu. Kantor prowadzi jednak publiczny eksplorator własnych transakcji, z adresem źródłowym, docelowym, kwotą i godziną, i agent po prostu z niego skorzystał. Dalej środki trafiały na konta Binance założone na libańskie paszporty, z logowaniami z Libanu, Francji i Włoch. Na jednym z nich przez trzy miesiące nigdy nie leżało więcej niż 500 dolarów, aż 14 kwietnia 2025 r. wpłynęło na nie ponad 23 tys. USDT. Agent nazywa takie konta słupami i dodaje, że libański paszport jest w tej roli typowy, bo łatwo go zdobyć albo podrobić; to jego ocena, nie ustalenie. Binance zablokowało wypłaty z tych kont tego samego dnia, znów bez wniosku FBI, a jego śledczy poinformował agenta o automatycznych blokadach adresów powiązanych z tą siecią. Kolejne adresy podsuwały FBI podmioty prywatne: 13 kwietnia partner branżowy, 17 kwietnia śledczy pracujący dla klientów z sektora compliance. Państwo nie było jedynym myśliwym. Sporą część tropienia wykonały prywatne działy zgodności, które mają własne powody, by nie chcieć tych pieniędzy na swoich platformach.
Jedno zastrzeżenie jest tu konieczne. Oświadczenie agenta to dokument jednej strony, złożony w postępowaniu ex parte, w którym nikt nie zadaje pytań pod przysięgą. Sąd ocenia tylko, czy istnieje uzasadnione podejrzenie (probable cause), a nie czy zarzuty są dowiedzione. Kwoty, oceny i rekonstrukcje z tego tekstu należy czytać jako twierdzenia oskarżenia, nie jako ustalenia sądu.
Serwer, który uciekł z Teheranu
Pieniądze można zamrozić, ale strona, która je zbiera, żyje dalej, i w tym miejscu narracja przenosi się z księgi rachunkowej do książki telefonicznej. Sierpniowe oświadczenie z 2026 r. jest historią infrastruktury i zawiera najciekawszy paradoks całej sprawy.
Od stycznia 2024 r. do co najmniej kwietnia 2026 r. domenę alqassam.ps utrzymywała Amnpardaz Soft Corporation, dostawca z Teheranu. Agent zauważa rzecz oczywistą: hosting w Iranie chroni stronę przed wyłączeniem przez dostawcę związanego z USA lub ich sojusznikami, a przywódcy Hamasu od lat publicznie dziękują Iranowi za wsparcie wojskowe i finansowe. Ochrona ma jednak cenę. Irańska infrastruktura jest wolna, filtrowana i blokowana przez wiele sieci na świecie. Organizacja, której model finansowania polega na dotarciu do darczyńcy w Europie czy Azji, potrzebuje zasięgu, a zasięg wymaga zachodniej infrastruktury. Oświadczenie ujmuje to jednym zdaniem: aktorzy Hamasu użyli amerykańskiej infrastruktury sieciowej, by ominąć ograniczenia w dostarczaniu treści i zapewnić, że informacja dotrze do sympatyków na całym świecie. To, że wybór był świadomym kompromisem między bezpieczeństwem a zasięgiem, jest moją hipotezą; dokument stwierdza tylko fakt migracji.
Migracja przebiegała etapami, i każdy etap zostawiał inny rodzaj śladu. Wiosną 2026 r. domena zaczęła wędrować. Historia DNS przytoczona w oświadczeniu z 29 lipca 2026 r. pokazuje w kwietniu adres u operatora w Holandii, pod koniec maja krótki powrót do Iranu, a 26 maja serwer dedykowany w centrum danych w Atlancie. W sierpniowym dokumencie nazwa dostawcy jest zaczerniona, lipcowy ją podaje: GTHost, spółka z siedzibą w Kanadzie i serwerami w Atlancie, ta sama, u której w lipcu domena przeniosła się na drugi serwer, pod adres 216.106.177.172. Dostawca na podstawie nakazu potwierdził, że adres IP był statycznie przypisany do alqassam.ps. Nakaz z 29 lipca, podpisany przez sędziego magistrackiego G. Michaela Harveya, objął ten serwer oraz domeny alaqsaflood.org i host.alaqsaflood.org, obsługujące zbiórkę i komunikację; FBI wykonało go 30 lipca. 4 sierpnia dostawca, znów zaczerniony, przekazał FBI zapisy wskazujące na kolejny serwer: 45.134.141.68, geolokalizowany w São Paulo, należący do DataCamp Limited z Londynu, działającej pod marką DataPacket.
Skąd w ogóle wzięły się domeny alaqsaflood.org? Z nagłówków. Informator przekazał FBI trzy odpowiedzi od fund@alqassam.ps wraz z pełnymi nagłówkami, a w nich serwer, który uwierzytelnił nadawcę: host.alaqsaflood.org. Wiadomości nosiły podpisy DKIM, kryptograficzny mechanizm, którym serwer poczty poświadcza, że list rzeczywiście wyszedł z danej domeny i nie został zmieniony w drodze. Zabezpieczenie przeciw fałszerstwu potwierdziło FBI, że Brygady kontrolują tę infrastrukturę. Sama nazwa też mówi: „Al-Aqsa Flood” to kryptonim operacji z 7 października 2023 r., ogłoszony w nagraniu Mohammeda Deifa, które oświadczenie cytuje. Serwer pocztowy zbiórki nosił nazwę ataku. Z tego samego serwera 9 lipca 2025 r., w dniu, w którym na Instagramie pojawiła się grafika z adresami Brygad, konto info@alqassam.ps rozesłało dziesiątki wiadomości do przypuszczalnych sympatyków; ich dostawca poczty, zaczerniony, wydał FBI rejestry na podstawie nakazu. Domeny rozwiązywały się na adresy usługi AWS Global Accelerator dzierżawione przez GoDaddy, co Amazon potwierdził w odpowiedzi na nakaz przeszukania. Agent tłumaczy, po co: wielu operatorów blokuje ruch pochodzący z Iranu, gdzie stała strona, ruch przez AWS jest ograniczany znacznie rzadziej, a takie usługi są powszechnie używane w krajach z ograniczeniami internetu do omijania blokad. Na tym polega konkretny sens zdania o amerykańskiej infrastrukturze: strona w Teheranie, poczta wychodząca przez amerykańską chmurę.
Tu do akcji wchodzą źródła otwarte, i warto zobaczyć, jakie. Agent sprawdził publiczne repozytoria certyfikatów TLS i historię zapisów DNS. Serwer w São Paulo posługiwał się certyfikatem wystawionym przez Let’s Encrypt dla domeny csguard.ir, a csguard.ir jest autorytatywnym serwerem nazw dla alqassam.ps. Serwer nazw to książka telefoniczna internetu: gdy ktoś wpisuje adres strony, to on odpowiada, pod jakim numerem IP strona mieszka; kto przejmuje książkę, przekierowuje wszystkich dzwoniących. Certyfikat wystawiono po to, by połączenie z tym serwerem było szyfrowane i bezpieczne, i właśnie dlatego trafił do publicznego rejestru przejrzystości certyfikatów, gdzie każdy może go odnaleźć. Zabezpieczenie zostawiło ślad, a ślad wskazał cel. To ten sam mechanizm, który rok wcześniej zdradził portfele: rotacja adresów wymagała paliwa, poczta wymagała uwierzytelnienia, szyfrowanie wymagało certyfikatu, a każda z tych rzeczy jest zapisem, który ktoś może przeczytać. Hosting w Iranie chroni przed nakazem sądu, hosting na Zachodzie daje zasięg; zasięg zostawia ślady.
Sędzia z Waszyngtonu i serwer w Brazylii
Prawnik zada w tym miejscu pytanie, które w oświadczeniu zajmuje kilkanaście stron: jak sędzia magistracki w Dystrykcie Kolumbii może nakazać londyńskiej spółce oddanie kontroli nad serwerem stojącym w Brazylii, a emitentowi z Karaibów zamrożenie tokenów należących do nieznanych osób? Odpowiedź jest podręcznikową ilustracją tego, czym amerykańskie prawo przepadku różni się od europejskiego.
Po pierwsze, postępowanie toczy się in rem, przeciwko rzeczy, nie przeciwko osobie. Nie trzeba nikogo oskarżyć, zatrzymać ani nawet zidentyfikować; wystarczy uprawdopodobnić, że rzecz podlega przepadkowi. Po drugie, podstawą jest przepis o najszerszym zasięgu w całym amerykańskim prawie przepadku: 18 U.S.C. § 981(a)(1)(G)(i). Obejmuje on wszystkie aktywa, krajowe i zagraniczne, każdej organizacji zaangażowanej w federalne przestępstwo terrorystyczne, oraz wszystkie aktywa dające komukolwiek źródło wpływu na taką organizację. Agent cytuje orzeczenie sądu dystryktowego w Waszyngtonie ze sprawy złotego pierścienia z rzeźbionym kamieniem (United States v. One Gold Ring with Carved Gemstone, 2019), w którym sąd stwierdził, że przepis sięga majątku, który nigdy nie dotknął terytorium USA, bez wymogu jakiegokolwiek związku z konkretnym przestępstwem. Wystarczy, że majątek należy do organizacji terrorystycznej. W sprawie tokenów dochodzi argument dodatkowy: Tether jest emitentem, więc z punktu widzenia sądu środki są w jego posiadaniu, a nakaz doręcza się jemu, gdziekolwiek siedzi ich nominalny właściciel.
Po trzecie, oskarżenie dokłada drugą podstawę, na wypadek gdyby pierwsza budziła wątpliwości. Ktoś zapłacił za serwer. Jeśli pieniądze przeszły z zagranicy do lub przez Stany Zjednoczone z zamiarem wspierania organizacji terrorystycznej, sama płatność za hosting jest przestępstwem międzynarodowego prania pieniędzy w celu promowania działalności przestępczej (18 U.S.C. § 1956(a)(2)(A)), a serwer jest mieniem „zaangażowanym” w tę transakcję. Orzecznictwo, które agent przywołuje, rozciąga to pojęcie na wszystko, co ułatwiło pranie, łącznie z czystymi środkami zmieszanymi z brudnymi. Faktura za serwer staje się transakcją pralniczą, a serwer tym, co za nią kupiono. To najsłabsze publicznie widoczne ogniwo dokumentu: twierdzenie, że płatność weszła na terytorium USA, jest sformułowane, ale fakty, które je podpierają, są zaczernione. DataCamp ma infrastrukturę w USA, więc konstrukcja jest możliwa; czy jest udowodniona, z jawnej wersji ocenić się nie da.
Właściwość miejscową daje 18 U.S.C. § 3238: przestępstwa popełnione poza jurysdykcją jakiegokolwiek stanu, gdy żaden sprawca nie mieszka w USA, sądzi się tam, gdzie sprawcę ujęto, a gdy nie ujęto nikogo, w Dystrykcie Kolumbii. Waszyngton jest z tego powodu naturalnym sądem dla spraw, w których oskarżonego nie ma. Do tego dochodzi reguła 41(b)(3) federalnych zasad postępowania karnego, pozwalająca w sprawach terroryzmu wydać nakaz co do mienia znajdującego się poza dystryktem, także za granicą. Dlaczego nakaz zajęcia, a nie zwykły zakaz rozporządzania? Ten sam argument, który rok wcześniej dotyczył tokenów, dotyczy teraz serwera: ani postanowienie zabezpieczające, ani zakaz sądowy nie gwarantują, że rzecz będzie dostępna dla przepadku, bo serwer i domenę można w kilka minut przenieść poza zasięg procesu. Dlatego mienie fizycznie się zabiera. Załącznik A opisuje, jak: DataCamp ma przekierować domenę na serwery nazw ns1.fbi.seized.gov i ns2.fbi.seized.gov, zablokować wszelkie zmiany do czasu zakończenia postępowania, rozpropagować zmiany w DNS tak szybko, jak to wykonalne, i nie utrudniać wykonania nakazu. Odwiedzającego przywita baner z godłami FBI i Departamentu Sprawiedliwości. Przysięgę złożono telefonicznie; dokument miał pozostać pod pieczęcią, którą zdjęto 1 września; na wykonanie było czternaście dni.
Uważny czytelnik zauważy, że sierpniowe oświadczenie nie jest wolne od potknięć. Numeracja akapitów dwukrotnie zaczyna się od nowa, przepis § 2339B w jednym miejscu staje się nieistniejącym § 2239B, a irańska firma hostingowa jest konsekwentnie nazywana „registrarem”, choć rejestr domen to inna funkcja. Te same potknięcia, wraz z odesłaniem do § 2339B w tytule 50 zamiast 18 Kodeksu USA i zdaniem urwanym na spójniku, powtarza oświadczenie lipcowe, co wskazuje raczej na wspólny szablon niż na jednorazowe przeoczenie. Sędziowie podpisali. Nie jest to zarzut wobec sędziów, tylko ilustracja standardu: w postępowaniu jednostronnym nie ma nikogo, kto wskazałby błędy, a próg uzasadnionego podejrzenia jest niski z założenia. Kto zna to postępowanie od strony obrony, wie, że spór zaczyna się dopiero wtedy, gdy właściciel mienia zgłosi roszczenie. W tej sprawie raczej nikt się nie zgłosi.
Co z tego wynika
Skutki pierwszego rzędu są w komunikacie prasowym: pieniądze zajęte, strona przejęta, darowizny przechwycone. Ciekawsze są skutki drugiego rzędu. FBI podaje, że zdobyło dane tysięcy osób, które kontaktowały się ze stroną Brygad i wpłaciły lub próbowały wpłacić, kryptowalutą albo tradycyjnie. Te dane, jak stwierdza komunikat, posłużą w przyszłych działaniach kontrterrorystycznych. Darczyńca, który zgodnie z instrukcją poprosił znajomego albo poszedł do kantoru, wciągnął w sprawę także ich; marcowe oświadczenie wspomina wprost, że dzięki danym z giełd zidentyfikowano kilku darczyńców wpłacających na pierwszy adres. Lista aplikacji rekomendowanych przez Brygady jest z kolei listą podmiotów, których procedury compliance będą teraz przedmiotem zainteresowania nadzorców; kto obsługuje przelewy, o których organizacja terrorystyczna pisze w instrukcji dla darczyńców, będzie musiał odpowiedzieć na pytanie, jak to możliwe. Cel operacji sformułował szef biura FBI w Albuquerque: ograniczyć zdolność organizacji do przyjmowania darowizn i zasiać nieufność w jej komunikacji z darczyńcami. Nieufność jest tu produktem końcowym, ważniejszym niż 560 tys. dolarów, bo pieniądze można zebrać ponownie, a darczyńcy, który nie wie, czy pisze do Brygad czy do FBI, nie da się odzyskać.
Dla polskiego czytelnika warta odnotowania jest różnica systemów. Polskie prawo zna zatrzymanie rzeczy i zabezpieczenie majątkowe w postępowaniu karnym, a od 30 grudnia 2024 r. unijne rozporządzenie o informacjach towarzyszących transferom (tzw. Travel Rule) nakłada na dostawców usług kryptoaktywów obowiązek przekazywania danych nadawcy i odbiorcy wraz z każdym transferem. Zamrażanie majątku terrorystów odbywa się w Europie głównie przez listy sankcyjne, czyli decyzją administracyjną wobec wskazanych osób. Amerykański instrument działa inaczej: sąd, na wniosek agenta, przeciw rzeczy, gdziekolwiek stoi, bez oskarżonego, a wykonawcą nakazu jest prywatny emitent lub giełda. Trudno wskazać jego europejski odpowiednik, i to jest jeden z powodów, dla których globalne sprawy kryptowalutowe tak często kończą się w Dystrykcie Kolumbii.
Sieć, która uczyła darczyńców, jak unikać weryfikacji, została rozpracowana przez opłaty za prowizje, dane z giełdy, którą sama odradzała, podpis, którym poświadczała własną pocztę, certyfikat, który sama sobie wystawiła, i telefon do emitenta waluty, którą sama wybrała. Hamas ostrzegał darczyńców, że Binance może zablokować portfel. Nie ostrzegł ich, że osoba pytająca uprzejmie o adres może pracować dla FBI. Księga nie zapomina, a w tej sprawie najgroźniejszym darczyńcą okazał się ten, który poprosił o instrukcję.
Robert Nogacki, radca prawny, Kancelaria Prawna Skarbiec
Tekst oparty na jawnych, częściowo zaczernionych wersjach oświadczeń agenta FBI w sprawach 25-sz-20, 25-sz-34, 26-sz-45 i 26-sz-49 (U.S. District Court for the District of Columbia) oraz na komunikatach Departamentu Sprawiedliwości USA. Twierdzenia zawarte w oświadczeniach są twierdzeniami organów ścigania złożonymi w postępowaniu jednostronnym i nie zostały zweryfikowane w postępowaniu kontradyktoryjnym.
Inne publikacje na podobne tematy
The Fire Was for the Camera: Inside Iran’s Propaganda Machine
Robert Nogacki – radca prawny (WA-9026), założyciel Kancelarii Prawnej Skarbiec.
Są prawnicy, którzy zajmują się prawem. I są tacy, którzy zajmują się problemami, na które prawo nie ma gotowej odpowiedzi. Od ponad dwudziestu lat Kancelaria Skarbiec pracuje na przecięciu prawa podatkowego, struktur korporacyjnych i ludzkiej niechęci do oddawania państwu więcej, niż się państwu należy. Doradzamy przedsiębiorcom z kilkunastu krajów – od tych z listy Forbesa po tych, którym fiskus właśnie zajął konto i którzy nie wiedzą, co robić jutro rano.
Jeden z najczęściej cytowanych ekspertów prawa podatkowego w polskich mediach – pisze dla Rzeczpospolitej, Dziennika Gazety Prawnej i Parkietu nie dlatego, że to dobrze wygląda w CV, lecz dlatego, że pewnych rzeczy nie da się wyjaśnić w piśmie procesowym i ktoś musi je powiedzieć głośno. Autor AI Decoding Satoshi Nakamoto. Sztuczna inteligencja na tropie twórcy Bitcoina. Współautor nagrodzonej książki Bezpieczeństwo współczesnej firmy.
Kancelaria Skarbiec zajmuje czołowe pozycje w rankingach kancelarii podatkowych Dziennika Gazety Prawnej. Czterokrotny laureat Medalu Europejskiego, laureat tytułu International Tax Planning Law Firm of the Year in Poland.
Specjalizuje się w sporach z organami skarbowymi, międzynarodowym planowaniu podatkowym, regulacjach kryptoaktywów i ochronie majątku. Od 2006 roku prowadzi sprawę WGI – jedną z najdłuższych spraw karnych w historii polskiego rynku finansowego, bo są rzeczy, których nie wolno zostawić w połowie, nawet jeśli trwają dwie dekady. Wierzy, że prawo jest zbyt poważne, żeby traktować je wyłącznie poważnie – i że najlepsza porada prawna to ta, dzięki której klient nigdy nie musi stanąć przed sądem.
