Изучение истории транзакций на платформе Tronscan показало, что упоминание об этом кошельке впервые появилось 12 марта в посте экстремистского Telegram-канала, управляемого пользователем с ником Mavlavi_56. Этот же администратор вел канал "Голос Хорасана", связанный с афганским крылом экстремистской организации ИГИЛ (запрещена в РФ). На следующий день кошелек активизировался, получив первый перевод в размере 2,19 доллара.
В течение недели, предшествовавшей теракту, Mavlavi_56 разместил несколько сообщений о сборе средств для "помощи пленным семьям и детям – Муджахидов – Мухаджиров", указывая адрес того же кошелька.
Активность кошелька достигла пика в день теракта, 22 марта, когда в него было переведено четырьмя траншами и сразу же выведено 2525 долларов, что соответствует примерно 232 тысячам рублей. Эти транзакции производились через аккаунты на одной из криптобирж, что указывает на их использование для перевода средств между заказчиками и исполнителями атаки. Обвиняемый в совершении теракта Фаридун Шамсиддин рассказал о том, что ему и его сообщникам обещали полмиллиона рублей, но была выплачена только половина этой суммы.
