Congelado el 2.2% de la red: qué reveló la analítica blockchain en el caso del petróleo iraní

Una demanda de decomiso civil presentada este mes reclama el decomiso de $61.2M en USDT vinculados a ventas de petróleo iraní. El expediente judicial público, la propia demanda y los datos de la blockchain de Tron permiten medir directamente la escala de la red que hay detrás de estas direcciones. En 25 meses recibió 2.72 mil millones de dólares. A continuación se muestra qué se logró establecer mediante el análisis de la blockchain y de qué manera se realizó la medición.

¿Cómo se ve este caso en cifras?

Todas las cifras anteriores pueden reproducirse a partir de fuentes públicas: la demanda judicial y la blockchain de Tron. Para realizar este análisis no se necesitaron datos cerrados ni propietarios.

¿De qué acusa exactamente el Departamento de Justicia de EE. UU. a estas 10 direcciones de Tron?

El 14 de septiembre de 2026, la Fiscalía Federal para el Distrito Sur de Nueva York presentó una demanda de decomiso civil contra los USDT depositados en 10 direcciones de la red Tron. El Gobierno sostiene que esos fondos son ingresos procedentes de ventas ilícitas de crudo iraní a compradores chinos y que estaban destinados a financiar estructuras militares iraníes, incluido el Cuerpo de la Guardia Revolucionaria Islámica (IRGC), al que EE. UU. ha designado organización terrorista extranjera.

En la demanda se describen dos empresas de Hong Kong: Hexa Whale Trading Limited y Blessed Trust Limited. Según el documento, engañaban a los proveedores de servicios sobre la naturaleza de su negocio mientras movían los ingresos de la venta de petróleo y prestaban servicios de entrada de fondos al sistema de las criptomonedas. Ninguna de estas partes ha sido imputada penalmente y todas las acusaciones expuestas siguen sin probarse.

Cómo están conectadas estas direcciones

La demanda emplea dos designaciones que responden a preguntas distintas, y esos grupos se solapan parcialmente en lugar de estar uno contenido íntegramente en el otro.

«Entity A» es una conclusión sobre el control de las direcciones. El Gobierno identifica «al menos siete direcciones de criptomonedas interconectadas» que, «sobre la base de los flujos de transacciones y de métodos de clustering, incluidos el historial de activación de direcciones y el movimiento de USDT y TRX», habrían estado «controladas durante todo el periodo pertinente por una misma persona o entidad, o por un grupo de personas o entidades que actuaban de forma concertada». Se trata de una afirmación de atribución: se presume que esas siete direcciones tienen un mismo operador.

Las 10 demandadas son los bienes contra los que se dirige la acción. El decomiso civil es una acción in rem.

Las demandadas son las direcciones que, según la demanda, «se utilizaron para custodiar y blanquear ingresos» y que, presumiblemente, fueron seleccionadas porque en el momento de la congelación todavía tenían USDT.

Una pretensión que va más allá de las 10 direcciones

En la demanda se invocan tres fundamentos jurídicos. Dos de ellos son fundamentos estándar de decomiso y se refieren a los ingresos y a los bienes relacionados con el blanqueo de capitales. El tercer fundamento, 18 U.S.C. § 981(a)(1)(G), se extiende a todos los activos de una entidad implicada en un delito federal de carácter terrorista, y no solo a los ingresos que puedan vincularse directamente con un delito concreto.

La demanda aplica esa norma directamente al clúster al sostener que «todos los activos de Entity A» son susceptibles de decomiso, «incluidos los fondos enviados a Entity A o recibidos por Entity A».

Según esta tesis, los fondos que lleguen en el futuro a una de esas direcciones podrían considerarse un activo de la entidad con independencia de que se logre probar que precisamente esos fondos procedían de la venta de petróleo. Las cinco direcciones vaciadas del clúster no son, desde el punto de vista jurídico, posiciones cerradas, y la cifra del 2.2% refleja el volumen de fondos que había en las direcciones en el momento de la congelación, no el límite de lo que, según el Gobierno, puede decomisarse. Hasta dónde llega esta tesis jurídica deberá decidirlo el tribunal; aquí solo se describe lo que se afirma en la demanda.

¿Es nuevo el mecanismo de decomiso mediante la destrucción y reemisión de tokens de Tether?

Buena parte del debate se ha centrado en una sola nota al pie: Tether destruirá los tokens que se encuentran en las direcciones objetivo y emitirá su reemplazo, entregando los nuevos tokens al control del Gobierno. Esto se ha presentado como un avance decisivo en el ámbito de la recuperación de activos.

En realidad, ya es una práctica consolidada. El precedente más evidente se remonta a junio de 2025, cuando el mismo emisor confirmó públicamente que había colaborado en el decomiso de $225M en el marco de un caso de decomiso civil en el Distrito de Columbia. Esa suma fue 3.7 veces mayor que la del caso que nos ocupa, y el episodio se produjo 15 meses antes.

La cuestión pendiente es mucho más estrecha: si es lícito destruir bienes señalados en una demanda y emitir su reemplazo antes de que exista una resolución judicial firme de decomiso. Este asunto se está dirimiendo al menos en dos casos: en uno, presentado dos semanas antes de la demanda que analizamos, se trata de una congelación de $42.4M; en el otro se reclama la entrega de $344M congelados a principios de este año. Por separado, la ley GENIUS Act concede a los emisores extranjeros un plazo hasta julio de 2028 para adaptarse a los requisitos regulatorios estadounidenses; ese plazo no resuelve por sí solo la cuestión más estrecha de la licitud de la destrucción y reemisión de tokens.

Irán vuelve a perder USDT: Tether congeló otros $131M por las sanciones de la OFAC17 jul 2026Leer más

Sin embargo, la observación más práctica es mucho más sencilla. Estas direcciones fueron congeladas el 15 de junio y el 26 de julio de 2025. La demanda se presentó 14 meses después.

¿Qué parte de la red abarcó la congelación?

Las 10 direcciones señaladas como demandadas son el remanente de dos años de actividad, no el saldo completo de esta red.

Si se examina cada dirección por separado, la proporción de fondos que quedaba en ella en el momento de la congelación oscilaba entre el 0.3% - una dirección recibió $359M y conservaba tan solo $1M cuando fue congelada - y el 99.2%: otra dirección recibió $12.5M y después ya no volvió a mover fondos.

Si, en cambio, se compara con el clúster de siete direcciones, el denominador crece: 2.72 mil millones de dólares de entradas externas a lo largo de 25 meses en 10,118 transferencias, de los cuales $61.2M representan el 2.2%. Esos 2.72 mil millones de dólares son una estimación conservadora. Si simplemente se suma todo lo que llegó a las siete direcciones, se obtienen 5.77 mil millones de dólares, pero 3.05 mil millones de esa cifra corresponden al movimiento de fondos entre las propias direcciones del clúster, por lo que quedan excluidos del cálculo.

La congelación se verificó por separado y no se dedujo de la ausencia de actividad. Para cada dirección se comprobó directamente en el contrato de USDT su estado en la lista negra; como valores de control se utilizaron una dirección que se sabía de antemano que estaba congelada y un monedero operativo de un exchange. Las 10 direcciones están efectivamente bloqueadas y sus saldos coinciden al céntimo con los indicados en la demanda.

Varias direcciones funcionaban a la vez y la composición de la red cambiaba

Las siete direcciones no se utilizaron una tras otra de forma consecutiva. En cualquier mes concreto funcionaban simultáneamente entre dos y cuatro direcciones, y en marzo de 2025 llegaron a ser seis. Unas direcciones dejaban de usarse y otras ocupaban su lugar, con periodos de actividad que se solapaban durante mucho tiempo. La duración de la actividad de cada dirección oscilaba entre cuatro y 17 meses.

Uno de los relevos resulta especialmente ilustrativo.

Así, la congelación afecta a las direcciones que ese día concreto conservan saldo, mientras que el conjunto de direcciones utilizadas sigue cambiando.

La mañana del 26 de julio de 2025, una dirección envió $8M en tres transferencias entre las 07:06 y las 07:18 a una misma dirección receptora, antes de que le llegara el bloqueo. Otra dirección transfirió $14.5M el día anterior.

Una undécima dirección de Tron muestra un cuadro semejante desde el lado del emisor. Está en la lista negra, pero no figura en la demanda: entre febrero y julio de 2025 pasaron por ella $67.2M, aunque en el momento de la congelación ya no quedaba nada en ella. Si el bloqueo se produce después de que los fondos hayan salido, ya no queda nada que decomisar, de modo que una dirección así ni siquiera llega a formar parte del caso judicial.

¿A dónde iban los fondos retirados de la red congelada?

Se rastrearon los 25 mayores receptores de los fondos retirados del clúster, por un total de 1.45 mil millones de dólares, es decir, el 54% de todos los fondos salientes. El análisis continuó un paso más a lo largo de la cadena.

Una dirección de depósito especializada suele enviar casi todos los fondos recibidos a un único receptor. Ninguna de estas direcciones funciona así: el mayor receptor individual recibe entre el 5% y el 46% del flujo saliente, y el resto de los fondos se reparte entre cientos de contrapartes; en un caso llegaron a ser 1,809.

Así pues, los fondos no iban a monederos creados específicamente para esta red. Se dirigían a grandes nodos con una elevada facturación que reciben fondos de multitud de fuentes y mueven aproximadamente seis veces más dinero del que esta red aportó. Rastrear un dólar concreto más allá de ese punto significa separarlo de los 7.08 mil millones de dólares aportados por todos los demás participantes, y esa es ya una cuestión de metodología y de acceso a datos a la que el grafo público de transferencias no responde por sí solo.

La demanda refleja esa separación. Su atribución del clúster se basa expresamente en datos de la blockchain: el Gobierno se remite a los «flujos de transacciones y métodos de clustering», incluido el historial de activación de direcciones, y ese trabajo puede reproducirse con datos públicos. En cambio, el paso del clúster a empresas concretas se apoya en datos de clientes y de transacciones de Binance. La estructura, la escala y las características temporales se ven en la blockchain; la información sobre identidades y entidades se obtuvo del exchange.

¿Sigue activa alguna parte de esta red?

El análisis de la blockchain reveló dos circunstancias que no se mencionan en la demanda.

El monedero que creó las direcciones decomisadas nunca fue congelado, porque no custodiaba fondos. Una dirección activó siete de las 10 direcciones demandadas en el transcurso de cuatro horas del 14 de mayo de 2025, lo que confirma el método de clustering descrito en la demanda. En todo ese tiempo, el saldo de USDT de esa dirección nunca superó los $196.50. Su única función consistía en activar nuevas direcciones y pagar las comisiones de las transacciones. No había nada que congelar en ella y no está en la lista negra. En junio de 2025 cesó su actividad, pero el 14 de julio de 2026 realizó una transacción más y financió una dirección creada dos semanas antes. Esa nueva dirección procesó después $6.1M en 1,755 transferencias y siguió funcionando hasta dos semanas antes de la presentación de la demanda.

Según el estándar de clustering expuesto en la demanda, esta dirección está vinculada al clúster decomisado. Sin embargo, conviene tomarlo con cautela: un pago aislado de comisiones es una prueba más débil que una dirección madre común que haya activado varios monederos, y la nueva dirección se comporta de otra manera. Es un motivo para seguir estudiándolo, no una conclusión definitiva.

Las claves privadas siguen funcionando. La mayor dirección congelada firmó cuatro transacciones con autorización ilimitada de gasto de fondos ya después de la congelación: en agosto de 2025, octubre de 2025, abril de 2026 y el 17 de julio de 2026. En cada caso, la autorización la recibía una nueva dirección, a la que se otorgaba la posibilidad de gastar el saldo.

Entretanto, después de la congelación apenas llegó nada a estas direcciones: $1.00 en total, y era polvo, una cantidad insignificante. Las contrapartes entendieron prácticamente de inmediato lo que había ocurrido.

¿Qué fiabilidad tiene la atribución de direcciones en este análisis?

Los prefijos de las direcciones no son identificadores en la red Tron. En la demanda, cinco direcciones del clúster aparecen abreviadas a sus cinco primeros caracteres. Esas direcciones pueden reconstruirse a partir de los datos de la blockchain, pero la búsqueda solo por el prefijo devuelve 38 candidatas para una de ellas, y 37 resultan ser direcciones señuelo: direcciones vanity creadas expresamente para coincidir con la dirección real tanto en los cinco primeros como en los cinco últimos caracteres, tras lo cual se les enviaba «polvo» de criptomonedas para que aparecieran en el historial de transacciones y el usuario pudiera copiarlas por error. La única forma de distinguir la dirección auténtica es por el volumen de operaciones. La dirección real movió $937M, mientras que cada una de las señuelo movió menos de $100. Por eso, quien intente reproducir este análisis únicamente a partir de los prefijos corre el riesgo de señalar una dirección equivocada.

Los vínculos a través del pago de comisiones también permiten detectar infraestructura compartida. En la demanda se señala con razón que una dirección que paga las comisiones de otra puede indicar una relación entre ambas. Sin embargo, al aplicar esa heurística de forma mecánica a este conjunto de datos, entra en el clúster también una dirección que recibe decenas de pequeños pagos del monedero utilizado para crear nuevas direcciones. En realidad, esa dirección pertenece al mercado de alquiler de energía que opera en torno a JustLend, un protocolo de préstamos de la red Tron. Nunca ha transferido un solo dólar en USDT. Es parte de la infraestructura que la red alquiló junto con otros miles de clientes.

Una dirección madre común que activó varios monederos y un pagador común de comisiones son dos tipos distintos de prueba. La primera está directamente relacionada con direcciones concretas; el segundo puede ser simplemente consecuencia de que ambas partes utilicen el mismo servicio de infraestructura.

¿Qué significa este caso para los equipos de cumplimiento y los reguladores?

Para los equipos de cumplimiento, la principal conclusión práctica tiene que ver con la rapidez de actuación. En este caso fue precisamente el intervalo entre la detección de los fondos y su congelación lo que determinó el resultado, y se midió en días. En la última semana antes de la congelación salió más dinero del que finalmente se logró conservar.

Para los legisladores y los reguladores el cuadro es ambivalente y conviene analizarlo en su conjunto. El mecanismo de bloqueo por parte del emisor funcionó: los fondos llevan 14 meses inaccesibles, pese a que el operador siguió intentando disponer de ellos, y el propio mecanismo se ha vuelto tan habitual que hoy es objeto de litigios judiciales y no de debates teóricos. La limitación medible tiene que ver con el tiempo: con el intervalo entre la llegada de los fondos y la congelación, y con el intervalo entre la congelación y la presentación de la demanda.

Y para cualquiera que esté evaluando el riesgo o una posible relación con esta red, conviene recordar: las direcciones señaladas en un documento judicial son aquellas en las que todavía quedaban fondos en el momento de la congelación.