1,3 Milliarden USDT eingefroren: OFAC erweitert die Maßnahmen gegen das iranische Krypto-Finanznetzwerk

OFAC hat 4 neue TRON-Adressen der iranischen Zentralbank eingefroren, was 1,3 Milliarden USDT betrifft, um gleichzeitig die Krypto-Bestände und die Zahlungsströme der Industrie zu bekämpfen.

Verfasst von: BlockSec

Am 14. Juli 2026 aktualisierte das US-Finanzministerium, Büro für die Kontrolle ausländischer Vermögenswerte (OFAC), die Sanktionsaufzeichnungen der Zentralbank des Iran (Central Bank of Iran, CBI) und fügte vier neue TRON-Adressen hinzu, die mit dieser Entität verbunden sind. Daraufhin setzte Tether die vier Adressen auf die schwarze Liste, wodurch etwa 1,3 Milliarden USDT nicht mehr transferiert oder eingelöst werden konnten.

BlockSec verwendete die On-Chain-Tracking-Untersuchungsplattform MetaSleuth, um die Geldflüsse dieser vier Adressen vollständig nachzuvollziehen. Die Analyse zeigt, dass es sich nicht um vier isolierte Wallets handelt: Die vier Adressen können in zwei Gruppen von Geldclustern unterteilt werden, wobei die oberen Adressen mit Zahlungs- oder Liquiditätsdienstleistern verbunden sind und die unteren Adressen mehrere zentralisierte Börsen betreffen. Ein Teil der Gelder wurde vor der Einfrierung über Cross-Chain-Pfade in BTC umgewandelt.

Am 29. Juli verhängte OFAC erneut Sanktionen gegen eine iranische maritime Dienstleistungsbehörde, HormuzSafe, die Zahlungen in Bitcoin und anderen digitalen Vermögenswerten akzeptiert. Zwischen den beiden Aktionen gibt es keine öffentlichen direkten Geldbeziehungen, aber sie spiegeln eine ähnliche politische Richtung wider: Das Interesse der USA an den Krypto-Finanzaktivitäten des Iran erstreckt sich von Wallets, die bereits Gelder halten, auf Geschäftseingänge, die möglicherweise weiterhin digitale Vermögenswerte generieren.

OFAC fügt der Sanktionsaufzeichnung der CBI vier TRON-Adressen hinzu

Diese Aktion ist nicht die erste, bei der OFAC Krypto-Wallet-Adressen mit der iranischen Zentralbank in Verbindung bringt. Am 24. April 2026 fügte OFAC erstmals zwei TRON-Adressen zu den bestehenden Sanktionspunkten der CBI hinzu, woraufhin etwa 344,2 Millionen USDT von Tether eingefroren wurden. Weniger als drei Monate später, am 14. Juli, aktualisierte OFAC diesen Punkt erneut und fügte vier TRON-Adressen hinzu, wodurch die öffentlich aufgeführten CBI-assoziierten Adressen von zwei auf sechs erhöht wurden. In dieser Runde wurden etwa 130,11 Millionen USDT von Tether eingefroren.

Die Größe der Einfrierung, die Rollenverteilung und die aktiven Zeiträume der vier neuen Adressen sind wie folgt:

Abbildung 1｜Die Einfrierungsgröße und Rollenverteilung der vier neuen CBI-assoziierten Adressen (Datenquelle: BlockSec MetaSleuth)

Die vollständigen Formen der vier Adressen sind wie folgt und können direkt für die Abgleichung mit Listen und die interne schwarze Liste verwendet werden:

• Erste Gruppe · Oberstrom-Empfänger TAhwhFv3JpK39Nc2m8W5LPCcoTisutiRfp
• Erste Gruppe · Unterstrom-Sammelstelle TJdgB1k6ot3f2nLuZug6D8eD3HavTmzmSK
• Zweite Gruppe · Geldtransfer TXGHxdYbGy574z5hBu4LNzq9NzjZQ9bhUf
• Zweite Gruppe · Passive Sammelstelle TFQbqaNbmq2xsVor2NbufLkYZvxFC9wC7k

Die vier Adressen wurden gleichzeitig von Tether auf die schwarze Liste gesetzt, und basierend auf dem damaligen Kontostand wurden insgesamt etwa 130,11 Millionen USDT eingefroren. Die betreffenden Token verbleiben an den ursprünglichen Adressen, können jedoch nicht mehr transferiert werden.

Für Anbieter von virtuellen Vermögenswerten bestimmt die Geschwindigkeit, mit der solche Listenaktualisierungen umgesetzt werden, direkt das Risikoengagement. Die von OFAC sanktionierten Adressen werden in das Risikokennzeichnungssystem von BlockSec aufgenommen, sodass Benutzer von Phalcon Compliance bei der Adressüberprüfung nicht nur diese vier Adressen selbst identifizieren können, sondern auch die Gegenparteien, die mit ihnen Geldtransaktionen hatten.

Die vier Adressen bilden zwei Gruppen von Geldclustern

Basierend auf den Geldflussbeziehungen zwischen den Adressen können die vier Adressen weiter in zwei Cluster unterteilt werden. Beide Gruppen von Adressen zeigen das Merkmal, dass Gelder von externen Dienstleistern eingehen, zwischen den verbundenen Adressen gesammelt werden und dann an Börsen oder andere Blockchain-Netzwerke umgeleitet werden.

Erste Gruppe: Etwa 56 Millionen USDT fließen ein, davon werden 32,27 Millionen USDT eingefroren

Zwischen TAhwhF und TJdgB1 besteht eine klare Ober- und Unterstrombeziehung.

Diese Gruppe von Adressen hat insgesamt etwa 56 Millionen USDT von Geldquellen, die in das On-Chain-Tagging-Datenmodell von dtcpay eingeordnet sind, erhalten, wobei etwa 32,27 Millionen USDT in dieser Runde eingefroren wurden.

Von den bereits ausgegebenen Geldern vor der Einfrierung:

1. Etwa 4 Millionen USDT flossen zu zentralisierten Börsen wie Binance;
2. Etwa 1,2 Millionen USDT wurden über Cross-Chain-Pfade in BTC umgewandelt;
3. Der Rest der Gelder wurde über andere Adressen weitergeleitet.

Es ist zu beachten, dass dtcpay eine Klassifizierung der Geldquellen in diesem On-Chain-Tagging-System ist, was bedeutet, dass die Gelder von einem Adressensystem stammen, das von diesem Dienstleister kontrolliert wird, und nicht, dass diese Institution an Aktivitäten zur Umgehung von Sanktionen beteiligt ist oder davon Kenntnis hat. Die Zuordnung der Adressen und der Zweck der Transaktionen müssen weiterhin durch kontobasierte Beweise unterstützt werden.

Diese Struktur zeigt, dass dieses Cluster nicht einfach zur langfristigen Speicherung von Stablecoins verwendet wird. Nachdem Gelder über Zahlungs- oder Abrechnungswege eingegangen sind, werden sie zunächst zwischen den verbundenen Adressen gesammelt, bevor ein Teil zu Börsen und ein Teil über Cross-Chain-Pfade in BTC abfließt.

Abbildung 2｜Geldfluss der ersten Gruppe: dtcpay-Adressenmodell → TAhwhF → TJdgB1 (Quelle: BlockSec MetaSleuth)

Zweite Gruppe: Etwa 97,84 Millionen USDT werden in Transfer- und Sammeladressen eingefroren

TXGHxd und TFQbqa bilden eine weitere Gruppe von Ober- und Unterstromadressen.

Die Gelder dieser Gruppe stammen größtenteils von einer Dienststelle, deren Identität noch nicht bestätigt wurde, und die beiden Adressen wurden insgesamt etwa 97,84 Millionen USDT eingefroren. Ein Teil der Gelder, die vor dem Einfrieren ausgegeben wurden, floss zu zentralisierten Börsen wie HitBTC und Binance.

Die beiden Adressen weisen funktionale Unterschiede auf. TXGHxd ist länger aktiv und übernimmt eine größere Rolle im Geldtransfer; TFQbqa hingegen begann im April 2026, Gelder zu sammeln, und es wurden keine aktiven Auszahlungsaktionen beobachtet, was näher an einer passiven Sammel- oder Reserveadresse liegt.

TFQbqa wurde einzeln mit etwa 85,53 Millionen USDT eingefroren, was den höchsten Betrag unter den vier Adressen darstellt und zwei Drittel des gesamten Einfrierungsbetrags dieser Runde ausmacht.

Abbildung 3｜Geldfluss der zweiten Gruppe: Transfer- und Sammelbeziehungen zwischen TXGHxd und TFQbqa (Quelle: BlockSec MetaSleuth)

• TXGHxd Geldfluss: https://metasleuth.io/result/tron/TXGHxdYbGy574z5hBu4LNzq9NzjZQ9bhUf?source=746ba6bb-da37-4c41-9c93-cb9a5c0d3544
• TFQbqa Geldfluss: https://metasleuth.io/result/tron/TFQbqaNbmq2xsVor2NbufLkYZvxFC9wC7k?source=43037291-6b24-4234-a43a-ffc8b7719c7a

Die kumulierte Einfrierungsgröße der CBI-assoziierten USDT beträgt etwa 474 Millionen US-Dollar

Der 14. Juli war nicht der erste Zeitpunkt, an dem Tether Gelder, die der CBI zugeordnet sind, einfriert.

Im April 2026 hatte Tether bereits etwa 344,2 Millionen USDT an CBI-assoziierten Vermögenswerten eingefroren. Zusammen mit den etwa 130,11 Millionen USDT dieser Runde beläuft sich die Gesamtsumme der beiden Aktionen auf etwa 474,31 Millionen USDT, was fast 474 Millionen US-Dollar entspricht.

Diese Aktionen zeigen die doppelte Natur von zentralisierten Stablecoins. USDT kann schnell zwischen Zahlungsdienstleistern, OTC-Netzwerken und Börsen in verschiedenen Regionen zirkulieren und bietet den von traditionellen Finanzierungen eingeschränkten Entitäten Liquidität in US-Dollar; aber die Verträge werden weiterhin vom Emittenten kontrolliert, und die Salden in identifizierten Adressen können direkt eingefroren werden.

Für Strafverfolgungsbehörden wird der Emittent zentralisierter Stablecoins daher zu einem wichtigen Knotenpunkt bei der Durchsetzung von Sanktionen. Diese Kontrollfähigkeit deckt jedoch hauptsächlich Gelder ab, die weiterhin in Form von USDT an bekannten Adressen verbleiben, und kann nicht automatisch Gelder zurückverfolgen, die bereits in Börsen, über Cross-Chain-Umwandlungen oder an andere Adressen transferiert wurden. Der Weg dieser Gelder kann nur durch On-Chain-Tracking ergänzt werden - der Weg, auf dem etwa 1,2 Millionen USDT in BTC umgewandelt wurden, wurde durch die Cross-Chain-Verfolgung von MetaSleuth wiederhergestellt.

OFAC hat zuvor Maßnahmen gegen lokale iranische Börsen ausgeweitet

Die CBI-Adressen sind nicht das einzige Ziel der USA in Bezug auf die iranischen Krypto-Finanzaktivitäten.

Am 2. Juni 2026 setzte OFAC die vier iranischen digitalen Vermögensbörsen Nobitex, Wallex, Bitpin und Ramzinex auf die Sanktionsliste. Das US-Finanzministerium erklärte, Nobitex habe der Zentralbank des Iran geholfen, Hunderte Millionen Dollar an Stablecoins zu beschaffen, um die weiterhin abwertende iranische Rial zu stützen, und half Insidern des iranischen Regimes, auf internationale digitale Vermögensbörsen zuzugreifen und Sanktionen zu umgehen. Nobitex wurde sanktioniert, weil sie als Unterstützer der Islamischen Revolutionsgarde (IRGC) identifiziert wurde und im iranischen Finanzsektor tätig ist; Wallex, Bitpin und Ramzinex wurden gemäß der Exekutivanordnung Nr. 13902 aufgrund ihrer Tätigkeit im iranischen Finanzsektor auf die Liste gesetzt. Das Finanzministerium stellte auch fest, dass diese drei Plattformen Transaktionen verarbeitet oder ermöglicht haben, die mit der IRGC, von der iranischen Regierung unterstützten Finanzinstitutionen und Aktivitäten zur Umgehung von Sanktionen in Verbindung stehen.

Wenn die CBI-Adressen die Schicht der Halter, Sammlung und Transfer von Stablecoins repräsentieren, übernehmen die lokalen iranischen Börsen die Funktionen des Vermögensaustauschs, der Inlandszirkulation und der Verbindung zu externen Märkten.

Aus den Geldflüssen der vier Adressen ist ebenfalls zu erkennen, dass zentralisierte Börsen nach wie vor wichtige untere Knotenpunkte sind. Börsen wie Binance und HitBTC erscheinen beide in den historischen Pfaden der betreffenden Adressen.

Allerdings bedeutet eine Überweisung von Adressen zu Börsen nicht, dass die Plattform an Aktivitäten zur Umgehung von Sanktionen beteiligt ist oder davon Kenntnis hat. On-Chain-Tagging kann nur anzeigen, dass Gelder in das von der Plattform kontrollierte Adressensystem eingegangen sind; die Zuordnung von Konten und der Zweck der Transaktionen müssen weiterhin durch kontobasierte Beweise unterstützt werden.

HormuzSafe: OFAC beginnt, neue Einnahmequellen für digitale Vermögenswerte zu beobachten

Am 29. Juli verhängte das US-Finanzministerium Sanktionen gegen die HormuzSafe Marine Services Authority und die Persian Gulf Marine Insurance Company.

Abbildung 4｜Sanktionen des US-Finanzministeriums vom 29. Juli 2026 gegen HormuzSafe (Quelle: US-Finanzministerium)

Das US-Finanzministerium beschreibt HormuzSafe als eine digitale Versicherungsinstitution, die vom iranischen Wirtschaftsministerium entwickelt wurde. Diese Institution bewirbt Versicherungen, Verkehrsregelungen, Sicherheits- und Notfalldienste für Schiffe, die durch die Straße von Hormuz fahren, und akzeptiert Zahlungen in Bitcoin und anderen digitalen Vermögenswerten.

Das US-Finanzministerium erklärte, HormuzSafe erziele Einnahmen im Namen der IRGC und versuche, die Kontrolle des iranischen Regimes über maritime Aktivitäten zu stärken. OFAC setzte HormuzSafe aufgrund ihrer Tätigkeit im Finanzsektor der iranischen Wirtschaft auf die Sanktionsliste gemäß der Exekutivanordnung Nr. 13902.

Derzeit gibt es keine öffentlichen Beweise, die darauf hindeuten, dass HormuzSafe direkte Geldtransaktionen mit den am 14. Juli hinzugefügten vier CBI-Adressen hat. OFAC hat auch keine BTC-, TRON- oder andere Krypto-Adressen von HormuzSafe veröffentlicht.

Daher können HormuzSafe und die vier CBI-Adressen nicht als Teil einer bereits bestätigten Geldkette beschrieben werden. Aber beide Aktionen spiegeln unterschiedliche Schwerpunkte der Sanktionen wider:

1. Die CBI-Adressenaktion zielt auf bereits auf der Kette angesammelte Stablecoin-Bestände ab;
2. Die Sanktionen gegen HormuzSafe zielen auf Geschäftseingänge ab, die möglicherweise weiterhin digitale Vermögenswerte generieren.

Ersteres kann als "Bestandsfrierung" verstanden werden, während letzteres näher an "Einnahmenschneidung" liegt.

Von eingefrorenen Adressen zu Maßnahmen gegen die Finanzinfrastruktur

Eine Reihe von jüngsten Aktionen zeigt eine zunehmend klare Richtung.

Die lokalen iranischen Börsen übernehmen die Funktionen des Inlandsumtauschs und der Verbindung zu externen Märkten; die CBI-assoziierten Adressen dienen zum Empfangen, Sammeln oder Speichern von Stablecoins; Institutionen wie HormuzSafe könnten durch reale Geschäfte weiterhin digitale Vermögenswerte generieren.

In diesem Rahmen könnte das iranische Krypto-Geldnetz mehrere Funktionsebenen umfassen:

1. Reale Geschäfte oder Online-Dienste bilden Geldquellen;
2. Zahlungs- und Liquiditätsdienstleister sind für das Einsammeln und Sammeln verantwortlich;
3. Stablecoins wie USDT übernehmen grenzüberschreitende Abrechnungen und die Speicherung des Wertes in US-Dollar;
4. Zentralisierte Börsen bieten weitere Umtausch- und Liquiditätsdienste;
5. Cross-Chain-Dienste wandeln Gelder in BTC oder andere Vermögenswerte um.

Das bloße Einfrieren bekannter Adressen kann schnell einen Teil der Bestandsgelder unterbrechen, deckt jedoch nicht das gesamte Netzwerk ab. Gelder können vor der Veröffentlichung der Listen in Börsen eingehen, in andere Vermögenswerte umgewandelt oder an noch nicht identifizierte neue Adressen verschoben werden.

Daher können Sanktionenkonformität und On-Chain-Untersuchungen nicht nur auf SDN-Adressen angewiesen sein, sondern müssen gleichzeitig auch die oberen Dienstleister, gemeinsame Gegenparteien, Börsenaufladungscluster, Cross-Chain-Pfade und reale Geschäftseingänge identifizieren.

Das ist auch das, was Phalcon Compliance tut. Es basiert auf über 600 Millionen Risikoadressen-Tags und einem 24/7 aktualisierten globalen Regulierungsinformationsnetzwerk, kombiniert mit unbegrenzten Sprüngen für Geldpfadverfolgung und Cross-Chain-Verknüpfungen. Die Ergebnisse der Überprüfung hören nicht bei "Diese Adresse steht auf der Liste" auf, sondern geben den Anteil an kontaminierten Geldern, die oberen Gegenparteien und die nachfolgenden Strömungen an; nach der Identifizierung werden dann Empfehlungen für die Behandlung in Bezug auf Handelsbeschränkungen, Isolierung zur Überprüfung oder Freigabe zur Beobachtung in hoher, mittlerer oder niedriger Risikokategorie gegeben, und es kann ein STR-Bericht über verdächtige Transaktionen, der den regulatorischen Anforderungen entspricht, auf Knopfdruck exportiert werden.

Die am 14. Juli eingefrorenen etwa 1,3 Milliarden USDT enthüllen ein bekanntes Stablecoin-Geldnetz der CBI; 15 Tage später die Sanktionen gegen HormuzSafe zeigen, dass das Interesse der USA bereits auf reale Geschäftsszenarien ausgeweitet wurde, die digitale Vermögenswerte akzeptieren.

Die entscheidende Frage ist nicht nur, ob OFAC weitere Adressen bekannt geben wird, sondern ob diese Gelder weiterhin durch neue Dienstleister, Vermögensarten und Geschäftseingänge fließen werden.