Адрес кошелька был размещен в Telegram-канале, связанном с "Голосом Хорасана" ("Вилаят Хорасан" входит в "Исламское государство", обе организации признаны террористическими и запрещены в РФ).
Кошелек впервые появился в Сети 12 марта. Он был размещен в Telegram-канале экстремистской направленности, администратором которого является пользователь с ником Mavlavi_56. Он же вел канал "Голос Хорасана", который в настоящее время удален. Этот канал, по данным источника РИА Новости, использовался для вербовки исполнителей теракта в "Крокусе".
На следующий день, 13 марта, кошелек стал активным: туда поступили токены на сумму в 2,19 доллара.
В день теракта, 22 марта, в 17:24 по московскому времени в Telegram-канале появилась ссылка на проповедь "Голоса Хорасана" и под ней фото боевика с закрытым лицом и пулеметом на плече.
В тот же день на криптокошелек на платформе Tronscan стали приходить переводы - 325, 550, 550 и 1100 долларов. Всего 2525 долларов. Это примерно 232 тысячи рублей. Один из арестованных по делу о теракте сообщил, что за совершение преступления ему пообещали полмиллиона рублей, но на карту перевели только половину.
Приходившие в кошелек суммы практически сразу из него уходили. Агенство предполагает, что данный счет использовался в качестве посредника для перевода денег между заказчиками или организаторами с одной стороны и исполнителями теракта - с другой. Деньги на этот кошелек и с него шли не напрямую, а через аккаунты с большим объемом транзакций, предположительно, одну из криптобирж.
После дня теракта переводы с этого криптокошелька и на него больше не осуществлялись.
Ранее в Следственном комитете заявили, что исполнителям теракта в "Крокусе" переводились значительные суммы денег и криптовалюты с Украины.