Адрес на кошелек был размещен в Telegram-канале, связанном с «Голосом Хорасана» (афганское крыло террористического «Исламского государства», запрещенного в РФ), который администрировал некто Mavlavi₅₆. Кошелек на платформе Tronscan стал активным — на него поступили первые токены менее чем на $ 3 — 13 марта.

В день теракта, 22 марта в кошельке наблюдался пик активности: туда приходили и практически сразу уходили токены на 325, 550, 550 и 1100 долларов. После дня атаки операции с этим криптокошельком не осуществлялись.

Если сложить все четыре перевода, то получается $ 2525 долларов (около 232 тысяч рублей). Обвиняемый Фаридун Шамсиддин после задержания говорил, что за теракт им обещали полмиллиона рублей, и перевели на карту как раз около половины.