Заморозка 130 млн USDT помогла аналитикам BitOK раскрыть теневую криптосхему ЦБ Ирана

США заблокировали более $130 млн в криптовалюте на кошельках, связанных с Центральным банком Ирана. Управление по контролю за иностранными активами (OFAC) при Минфине внесло под санкции четыре TRON-адреса, а эмитент стейблкоинов Tether в тот же день, 14 июля, заблокировала их в контракте USDT. Решение подтвердил глава Минфина Скотт Бессент на фоне обострения конфликта на Ближнем Востоке.

Официальные заявления и публикации СМИ раскрыли лишь малую часть картины. За кадром осталось главное — как была устроена иранская схема хранения стейблкоинов, откуда приходили деньги и почему их не успели спасти. Аналитики BitOK погрузились в историю и нашли массу любопытных деталей, на которые ранее никто не обращал внимание.

OFAC не вводил санкции против новой структуры — ведомство дополнило четырьмя криптоадресами уже существующую запись Центрального банка Ирана в санкционном списке SDN, американском реестре лиц и организаций, с которыми запрещены любые операции.

Показательно, как именно в этой записи классифицирован банк: помимо иранской санкционной программы, там стоят отметки о связи с глобальным терроризмом и КСИР, включая силы «Аль-Кудс» и «Хезболлу».

Другими словами, Вашингтон рассматривает криптокошельки иранского регулятора не просто как инструмент обхода санкций, а как часть финансирования военных и террористических структур.

«Минфин США намерен пресекать и подрывать незаконную финансовую деятельность Ирана, включая злоупотребление цифровыми активами. Мы продолжим настойчиво отслеживать денежные потоки и лишать иранский режим доступа к доходам от его незаконных схем», — заявил Бессент в соцсети X.

Все четыре адреса были внесены в черный список контракта USDT одномоментно — записи о блокировке зарегистрированы в блокчейне 14 июля в 21:02:57 UTC, с точностью до секунды. Совпадение указывает на заранее сформированный пакет адресов и единое исполнение решения: для расследователей это один кластер, а не четыре независимых кейса.

Средства распределены крайне неравномерно — три крупнейших кошелька концентрировали 99,01% заблокированной суммы:

Аналитики BitOK подчеркивают юридическую точность формулировок: произошла блокировка, а не изъятие.

Транзакционный анализ показал четыре адреса — не независимые остатки, а две пары с разделением функций:

Модульная архитектура упрощает внутренний контроль, но создает крупные статичные цели для санкционной блокировки.

Схема работала по устойчивому шаблону: предварительное пополнение TRX для оплаты газа, короткие тестовые транзакции, затем крупные транши.

Причем оба резервных кошелька получали TRX от одного и того же адреса, размеченного как сервис аренды энергии, — общий источник газа стал одним из ключевых признаков связи внутри кластера.

Аналитики BitOK восстановили ключевые этапы:

Исторический фрагмент графа уводит еще глубже: адрес, размеченный как маркетмейкер B2C2, с октября 2024 по январь 2025 года перевел на промежуточные кошельки 167,29 млн USDT, из которых не менее 122,06 млн консолидировал узел, впоследствии направивший 108,57 млн на иранское казначейство.

В графе видны операции с адресами, размеченными как Binance, Poloniex, Bitso, HitBTC, OKX, Changelly, Gate.io, а также как сервисы для перевода средств между блокчейнами — кроссчейн-мосты. В частности, с казначейского кошелька прошла серия выплат на 17 адресов с разметкой HitBTC — 1,88 млн USDT траншами от 61 тыс. до 500 тыс.

Заметка инвестигейтора. Средства поступали через сингапурского платежного и OTC-провайдера dtcpay, а также через британского институционального маркетмейкера B2C2. Дополнительные входящие переводы зафиксированы с Binance — международной биржи, Poloniex — биржи американского происхождения, и Bitso — мексиканской криптоплатформы.

Аналитики BitOK обращают внимание: разметка внешних сервисов не является самостоятельным подтверждением владельцев адресов, а большинство операций прошло до санкционной атрибуции — транзакционная связь сама по себе не доказывает нарушение или осведомленность контрагента. Не установлены и единый технический оператор обеих пар, и мост между ними на уровне блокчейна: кластер объединяет только официальная атрибуция OFAC.

Признаков экстренной эвакуации средств нет — последние существенные операции прошли задолго до блокировки:

В последние 24–72 часа перед blacklist срочного вывода не зафиксировано — операторы, судя по ончейн-данным, не получили предупреждения.

Июльская заморозка продолжает апрельский прецедент — 24 апреля OFAC уже добавил в досье ЦБ Ирана два TRON-адреса:

Повторяемость, подчеркивают аналитики BitOK, указывает на системную работу с крупными стейблкоин-балансами на уровне инфраструктуры центрального банка, а не на эпизодическое использование криптовалюты отдельными чиновниками.

Параллельно — на фоне блокировки — Минфин США объявил отдельную волну санкций против сети Мохаммада Хоссейна Шамхани — иранского бизнесмена, сына Али Шамхани, советника верховного лидера Ирана и экс-секретаря Высшего совета национальной безопасности. Под ограничения попали более 50 лиц, компаний и судов, связанных с экспортом иранской нефти.

Тем временем OFAC выпустил General License Z. Лицензия касается судов, попавших под блокировку 14 июля: им временно разрешены безопасная стоянка, заход в порты и выход из них по всему миру, экстренный ремонт и выгрузка грузов, принятых на борт до этой даты. Заключать новые контракты с подсанкционными структурами документ не позволяет и блокировку с криптокошельков не снимает. Смысл лицензии — остановить доходы сети без хаотичной остановки судов в море и риска аварий. Прямой транзакционной связи между морским пакетом и адресами ЦБ Ирана в публичных данных нет, однако обе меры приняты в один день и относятся к одной кампании давления на экспортные доходы Тегерана.

Ключевой вывод отчета выходит за рамки конкретного эпизода. USDT дает Ирану доступ к долларовой ликвидности в обход корреспондентских счетов и SWIFT, но сохраняет зависимость от централизованного эмитента, учитывающего санкционные требования США.

Вашингтон теряет контроль на уровне банковских посредников — и возвращает его на уровне токен-контракта. По официальной позиции США, стейблкоины использовались ЦБ Ирана в том числе для поддержки курса риала, и заморозки ограничивают этот инструмент.

Последствия для Тегерана:

Вероятная адаптация — меньшие остатки, короткий цикл хранения, расчеты через OTC и взаимозачет, переход части резервов в активы без функции блокировки на уровне эмитента. Цена — ухудшение ликвидности, волатильность и рост операционных ошибок.

Главная уязвимость иранской криптостратегии, заключают аналитики BitOK, не в прозрачности блокчейна как таковой, а в том, что государственный контур использовал централизованный цифровой доллар с административной точкой отключения.

Службам, отвечающих за противодействие отмыванию денег, кейс показывает слабость проверки только по текущему санкционному списку: самые ценные сигналы возникают до и сразу после официального обновления. Рекомендуется отслеживать:

Отдельный риск — автоматическая переоценка всех адресов, получавших средства от санкционного кошелька: сам факт транзакционной связи не доказывает участие в обходе санкций, нужен контекст операции.