Congelados 2.2% da rede: o que a analítica de blockchain revelou no caso do petróleo iraniano

Uma ação de confisco civil apresentada neste mês exige o confisco de $61.2M em USDT ligados a vendas de petróleo iraniano. Os autos públicos, a própria ação e os dados da blockchain Tron permitem medir diretamente a escala da rede por trás desses endereços. Em 25 meses, ela recebeu 2.72 bilhões de dólares. A seguir, mostramos o que foi possível estabelecer por meio da análise da blockchain e de que forma a medição foi feita.

Como esse caso se apresenta em números?

Todos os números acima podem ser reproduzidos a partir de fontes públicas: a ação judicial e a blockchain Tron. Para realizar esta análise não foram necessários dados fechados ou proprietários.

Do que exatamente o Departamento de Justiça dos EUA acusa esses 10 endereços da Tron?

Em 14 de setembro de 2026, a Procuradoria dos EUA para o Distrito Sul de Nova York apresentou uma ação de confisco civil sobre os USDT depositados em 10 endereços da rede Tron. O Governo afirma que esses recursos são ganhos provenientes de vendas ilícitas de petróleo bruto iraniano a compradores chineses e que se destinavam a financiar estruturas militares iranianas, incluindo o Corpo da Guarda Revolucionária Islâmica (IRGC), que os EUA designaram organização terrorista estrangeira.

A ação descreve duas empresas de Hong Kong: Hexa Whale Trading Limited e Blessed Trust Limited. Segundo o documento, elas induziam prestadores de serviços a erro quanto à natureza do seu negócio enquanto movimentavam os ganhos da venda de petróleo e prestavam serviços de entrada de recursos no sistema das criptomoedas. Nenhuma dessas partes foi acusada criminalmente, e todas as acusações apresentadas permanecem não comprovadas.

Como esses endereços estão conectados

A ação usa duas designações que respondem a perguntas diferentes, e esses grupos se sobrepõem parcialmente em vez de um conter integralmente o outro.

«Entity A» é uma conclusão sobre o controle dos endereços. O Governo identifica «pelo menos sete endereços de criptomoedas interconectados» que, «com base nos fluxos de transações e em métodos de clusterização, incluindo o histórico de ativação de endereços e a movimentação de USDT e TRX», teriam sido «controlados durante todo o período pertinente pela mesma pessoa ou entidade, ou por um grupo de pessoas ou entidades agindo em conjunto». Trata-se de uma afirmação de atribuição: presume-se que esses sete endereços têm um mesmo operador.

Os 10 réus são os bens contra os quais a ação é dirigida. O confisco civil é uma ação in rem.

Os réus são os endereços que, segundo a ação, «foram utilizados para guardar e lavar ganhos» e que, presumivelmente, foram escolhidos porque no momento do congelamento ainda tinham USDT.

Uma pretensão que vai além dos 10 endereços

Na ação são invocados três fundamentos jurídicos. Dois deles são fundamentos padrão de confisco e dizem respeito aos ganhos e aos bens relacionados à lavagem de dinheiro. O terceiro fundamento, 18 U.S.C. § 981(a)(1)(G), estende-se a todos os ativos de uma organização envolvida em crime federal de caráter terrorista, e não apenas aos ganhos que possam ser ligados diretamente a um crime específico.

A ação aplica essa norma diretamente ao cluster ao sustentar que «todos os ativos da Entity A» estão sujeitos a confisco, «incluindo recursos enviados à Entity A ou recebidos pela Entity A».

Segundo essa tese, os recursos que no futuro cheguem a um desses endereços poderão ser considerados ativo da organização independentemente de se conseguir provar que justamente esses recursos vieram da venda de petróleo. Os cinco endereços esvaziados do cluster não são, do ponto de vista jurídico, posições encerradas, e o número de 2.2% reflete o volume de recursos que estava nos endereços no momento do congelamento, e não o limite daquilo que, segundo o Governo, pode ser confiscado. Até onde vai essa tese jurídica caberá ao tribunal decidir; aqui apenas se descreve o que a ação afirma.

O mecanismo de confisco por destruição e reemissão de tokens da Tether é novo?

Boa parte da discussão se concentrou em uma única nota de rodapé: a Tether vai destruir os tokens que estão nos endereços visados e emitir a sua substituição, entregando os novos tokens ao controle do Governo. Isso foi apresentado como um avanço decisivo na área de recuperação de ativos.

Na realidade, já é uma prática consolidada. O precedente mais evidente remonta a junho de 2025, quando o mesmo emissor confirmou publicamente ter colaborado no confisco de $225M no âmbito de um caso de confisco civil no Distrito de Columbia. Aquele valor foi 3.7 vezes maior do que o do caso em análise, e o episódio ocorreu 15 meses antes.

A questão em aberto é bem mais estreita: se é lícito destruir bens indicados em uma ação e emitir a sua substituição antes da decisão judicial definitiva de confisco. Esse tema está sendo discutido em pelo menos dois casos: em um deles, apresentado duas semanas antes da ação em análise, trata-se de um congelamento de $42.4M; no outro, exige-se a entrega de $344M congelados no início deste ano. Em separado, a lei GENIUS Act concede aos emissores estrangeiros prazo até julho de 2028 para se adequarem às exigências regulatórias norte-americanas; esse prazo não resolve por si só a questão mais estreita da licitude da destruição e reemissão de tokens.

O Irã volta a perder USDT: a Tether congelou mais $131M por causa das sanções da OFAC17 de jul. de 2026Leia mais

A observação mais prática, porém, é bem mais simples. Esses endereços foram congelados em 15 de junho e 26 de julho de 2025. A ação foi apresentada 14 meses depois.

Que parte da rede o congelamento abrangeu?

Os 10 endereços apontados como réus são o resíduo de dois anos de atividade, e não o saldo completo dessa rede.

Analisando cada endereço separadamente, a parcela de recursos que permanecia nele no momento do congelamento variou de 0.3% - um endereço recebeu $359M e mantinha apenas $1M quando foi congelado - a 99.2%: outro endereço recebeu $12.5M e depois disso não voltou a movimentar recursos.

Já em comparação com o cluster de sete endereços, o denominador aumenta: 2.72 bilhões de dólares de entradas externas ao longo de 25 meses em 10,118 transferências, dos quais $61.2M representam 2.2%. Esses 2.72 bilhões de dólares são uma estimativa conservadora. Somando simplesmente tudo o que chegou aos sete endereços, obtêm-se 5.77 bilhões de dólares, mas 3.05 bilhões desse valor correspondem à movimentação entre os próprios endereços do cluster e, por isso, são excluídos do cálculo.

O congelamento foi confirmado separadamente, e não deduzido da ausência de atividade. Para cada endereço, o contrato de USDT foi verificado diretamente quanto ao seu status na lista negra; como valores de controle foram usados um endereço sabidamente congelado e uma carteira operacional de exchange. Todos os 10 endereços estão de fato bloqueados, e seus saldos coincidem, até o centavo, com os indicados na ação.

Vários endereços funcionavam ao mesmo tempo e a composição da rede mudava

Os sete endereços não foram usados um após o outro, em sequência. Em qualquer mês específico funcionavam simultaneamente de dois a quatro endereços e, em março de 2025, chegaram a ser seis. Alguns endereços deixavam de ser usados e outros ocupavam o seu lugar, com períodos de atividade que se sobrepunham por muito tempo. A duração da atividade de cada endereço variou de quatro a 17 meses.

Uma das trocas é especialmente reveladora.

Assim, o congelamento atinge os endereços que naquele dia específico ainda mantêm saldo, enquanto o conjunto de endereços em uso continua mudando.

Na manhã de 26 de julho de 2025, um endereço enviou $8M em três transferências entre 07:06 e 07:18 para um mesmo endereço destinatário, antes que o bloqueio chegasse até ele. Outro endereço transferiu $14.5M no dia anterior.

Um décimo primeiro endereço da Tron mostra um quadro semelhante pelo lado do emissor. Ele está na lista negra, mas não consta da ação: entre fevereiro e julho de 2025 passaram por ele $67.2M, porém, no momento do congelamento, já não havia nada nele. Se o bloqueio ocorre depois que os recursos saíram, não há mais nada a confiscar e, por isso, um endereço assim nem chega a fazer parte do processo judicial.

Para onde iam os recursos retirados da rede congelada?

Foram rastreados os 25 maiores destinatários dos recursos retirados do cluster, num total de 1.45 bilhão de dólares, ou 54% de todos os recursos que saíram. A análise avançou mais um passo na cadeia.

Um endereço de depósito especializado costuma enviar quase todos os recursos recebidos a um único destinatário. Nenhum desses endereços funciona assim: o maior destinatário individual recebe de 5% a 46% do fluxo de saída, e o restante é distribuído entre centenas de contrapartes; em um caso chegaram a ser 1,809.

Assim, os recursos não iam para carteiras criadas especificamente para essa rede. Iam para grandes nós com elevado movimento, que recebem recursos de inúmeras fontes e movimentam cerca de seis vezes mais dinheiro do que essa rede lhes aportou. Rastrear um dólar específico além desse ponto significa separá-lo dos 7.08 bilhões de dólares aportados por todos os demais participantes, e essa já é uma questão de metodologia e de acesso a dados à qual o grafo público de transferências, por si só, não responde.

A ação reflete essa separação. A atribuição do cluster nela se baseia expressamente em dados da blockchain: o Governo se remete aos «fluxos de transações e métodos de clusterização», incluindo o histórico de ativação de endereços, e esse trabalho pode ser reproduzido com dados públicos. Já a passagem do cluster para empresas concretas apoia-se em dados de clientes e de transações da Binance. A estrutura, a escala e as características temporais são visíveis na blockchain; as informações sobre identidades e organizações vieram da exchange.

Alguma parte dessa rede continua ativa?

A análise da blockchain revelou duas circunstâncias que não são mencionadas na ação.

A carteira que criou os endereços confiscados nunca foi congelada, porque não guardava recursos. Um endereço ativou sete dos 10 endereços réus no intervalo de quatro horas em 14 de maio de 2025, o que confirma o método de clusterização descrito na ação. Em todo esse tempo, o saldo de USDT desse endereço nunca ultrapassou $196.50. Sua única função era ativar novos endereços e pagar as taxas das transações. Não havia nele nada a congelar e ele não está na lista negra. Em junho de 2025 ele interrompeu a atividade, mas em 14 de julho de 2026 realizou mais uma transação, financiando um endereço criado duas semanas antes. Esse novo endereço processou depois $6.1M em 1,755 transferências e continuou funcionando até duas semanas antes da apresentação da ação.

Pelo padrão de clusterização exposto na ação, esse endereço está ligado ao cluster confiscado. Ainda assim, isso deve ser visto com cautela: um pagamento isolado de taxas é uma prova mais fraca do que um endereço-pai comum que tenha ativado várias carteiras, e o novo endereço se comporta de outra forma. É um motivo para estudo adicional, não uma conclusão definitiva.

As chaves privadas continuam funcionando. O maior endereço congelado assinou quatro transações com autorização ilimitada de gasto de recursos já depois do congelamento: em agosto de 2025, outubro de 2025, abril de 2026 e em 17 de julho de 2026. Em cada caso, a autorização era concedida a um novo endereço, ao qual se dava a possibilidade de gastar o saldo.

Enquanto isso, depois do congelamento quase nada chegou a esses endereços: $1.00 no total, e era poeira, um valor insignificante. As contrapartes entenderam quase imediatamente o que havia acontecido.

Quão confiável é a atribuição de endereços nesta análise?

Os prefixos dos endereços não são identificadores na rede Tron. Na ação, cinco endereços do cluster aparecem abreviados aos cinco primeiros caracteres. Esses endereços podem ser reconstituídos a partir dos dados da blockchain, mas a busca apenas pelo prefixo devolve 38 candidatos para um deles, e 37 se revelam endereços-isca: endereços vanity criados especialmente para coincidir com o endereço real tanto nos cinco primeiros quanto nos cinco últimos caracteres, após o que lhes era enviada «poeira» de criptomoedas para que aparecessem no histórico de transações e pudessem ser copiados por engano pelo usuário. A única forma de distinguir o endereço autêntico é pelo volume de operações. O endereço real movimentou $937M, enquanto cada um dos endereços-isca movimentou menos de $100. Por isso, quem tentar reproduzir esta análise apenas pelos prefixos corre o risco de indicar o endereço errado.

Os vínculos por meio do pagamento de taxas também permitem detectar infraestrutura compartilhada. A ação observa, com razão, que um endereço que paga as taxas de outro pode indicar uma ligação entre eles. No entanto, ao aplicar essa heurística de forma mecânica a este conjunto de dados, entra no cluster também um endereço que recebe dezenas de pequenos pagamentos da carteira usada para criar novos endereços. Na realidade, esse endereço pertence ao mercado de aluguel de energia que funciona em torno do JustLend, um protocolo de empréstimos da rede Tron. Ele nunca transferiu um único dólar em USDT. É parte da infraestrutura que a rede alugou junto com milhares de outros clientes.

Um endereço-pai comum que ativou várias carteiras e um pagador comum de taxas são dois tipos distintos de prova. O primeiro está diretamente ligado a endereços concretos; o segundo pode ser apenas consequência de ambas as partes usarem o mesmo serviço de infraestrutura.

O que esse caso significa para as equipes de compliance e para os reguladores?

Para as equipes de compliance, a principal conclusão prática tem a ver com a rapidez de ação. Neste caso foi justamente o intervalo entre a detecção dos recursos e o seu congelamento que determinou o resultado, e ele foi medido em dias. Na última semana antes do congelamento saiu mais dinheiro do que afinal se conseguiu preservar.

Para legisladores e reguladores, o quadro é ambíguo e vale a pena analisá-lo por inteiro. O mecanismo de bloqueio do lado do emissor funcionou: os recursos permanecem inacessíveis há 14 meses, apesar de o operador ter continuado a tentar dispor deles, e o próprio mecanismo tornou-se tão corriqueiro que hoje é objeto de disputas judiciais, e não de discussões teóricas. A limitação mensurável tem a ver com o tempo: com o intervalo entre a chegada dos recursos e o congelamento, e com o intervalo entre o congelamento e a apresentação da ação.

E para quem estiver avaliando riscos ou uma possível ligação com essa rede, vale lembrar: os endereços indicados em um documento judicial são aqueles em que ainda restavam recursos no momento do congelamento.