Sanktionierte TRON-Adressen: Die USDT-Spur reicht bis 2022 zurück

Am 30. September hat das US-Finanzministerium sieben TRON-Adressen auf seine Sanktionsliste gesetzt. Es sind keine Mixer-Adressen und keine Hot Wallets einer Börse. Es sind gewöhnliche Einzahlungsadressen bei einer großen Kryptobörse, genau die Art, die Sie bekommen, wenn Sie im eigenen Konto auf „USDT einzahlen“ klicken.

Auch die Leute dahinter stammen nicht aus der Kryptoszene. Ihnen wird vorgeworfen, Geldautomaten ausgeräumt zu haben.

Die Geldautomaten-Crew, die in USDT Kasse machte

Tren de Aragua ist eine venezolanische Bande, die die USA im Februar 2025 als ausländische Terrororganisation eingestuft haben. Eine ihrer Einnahmequellen ist ATM-Jackpotting. Ein Team fotografiert einen Geldautomaten und prüft ihn auf stille Alarme. Ein zweites Team bricht ihn auf, zieht die Festplatte, spielt Malware darauf und setzt sie wieder ein. Ein drittes Team holt das Bargeld ab, sobald der Automat den Befehl bekommt, sich zu leeren, ohne irgendein Konto zu belasten. Die Malware, eine Ploutus-Variante, löscht sich danach selbst.

Die Bilanz des Finanzministeriums: 40,73 Millionen Dollar aus US-Banken in mehr als 1.500 Angriffen, Stand August 2025. Seit Oktober 2025 haben Staatsanwälte 98 Personen angeklagt. Der mutmaßliche Urheber der Malware, Anibal Alexander Canelon Aguirre, genannt „Prometheus“, stand bis zu seiner Festnahme auf der „Ten Most Wanted“-Liste des FBI. Am 2. Oktober erschien er vor einem Gericht in Nebraska.

Stapel von Banknoten lassen sich schlecht über Grenzen schaffen. USDT auf TRON lässt sich leicht bewegen. Also tauschte die Crew Bargeld in Stablecoins und parkte sie auf Einzahlungsadressen einer Börse, sieben insgesamt, jede einem namentlich bekannten Mitglied zugeordnet. Am 30. September hat OFAC die Personen, zwei in Mexiko registrierte Firmen und diese sieben Adressen unter den Executive Orders 13224 und 13581 gelistet.

Was die Adressen zeigen

Blockchain-Analysefirmen hatten die Adressen innerhalb von Stunden kartiert. Die Zahlen von Scorechain und TRM Labs:

• Rund 6,1 Millionen Dollar liefen in etwa 3.900 Transaktionen über die sieben Adressen.
• Fast alles davon war USDT auf TRON.
• Die erste Transaktion stammt aus dem März 2022. Die letzte aus dem Juli 2026.
• Fünf der sieben Adressen wurden im Lauf des Jahres 2025 still.
• Das Restguthaben auf allen zusammen liegt unter 40 Dollar.

Lesen Sie die letzte Zeile noch einmal. Da war nichts mehr einzufrieren. Chainalysis merkt an, dass Tether bereits USDT auf mehreren Wallets mit Exposure zu diesen Adressen eingefroren hatte, aber die gelisteten Adressen selbst waren leer, als die Listung herauskam. Was die Listung geändert hat, ist der Status von vier Jahren Transaktionshistorie.

Das ist der Teil, der jeden angeht, der jemals USDT auf TRON empfangen hat.

Sanktionen wirken rückwärts

Ein Freeze ist ein Schalter, den heute jemand umlegt. Eine Listung ist ein Etikett, das an allem hängt, was die Adresse je berührt hat. Die sieben Adressen waren nicht am 29. September sauber und am 30. September schmutzig. Für jedes Compliance-Screening auf der Welt sind sie seit März 2022 schmutzig. Die Screenings wussten es nur noch nicht.

Jetzt wissen sie es. Börsen und Zahlungsdienstleister lassen ihre Kunden erneut gegen die aktualisierte SDN-Liste laufen. Einzahlungen, die 2023 durchgingen, werden ein zweites Mal angesehen. Eine Adresse, die USDT an eine der sieben geschickt hat oder USDT von einer Wallet bekam, die das getan hat, trägt jetzt eine Markierung, die sie letzte Woche noch nicht hatte.

Deshalb hat TRM Labs seinen Kunden geraten, die historische Exposure zu prüfen („review historical exposure“) und das Screening auf indirekte Exposure ein oder zwei Hops weiter auszudehnen. Scorechain wurde deutlicher: die komplette Historie von März 2022 bis Juli 2026 durchgehen, nicht nur die letzten Monate.

Diese Hinweise waren für Börsen geschrieben. Die Börse ist aber nicht die, die den Schaden hat. Wenn Ihre Einzahlung bei einer europäischen Börse festgehalten wird, weil eine Adresse zwei Hops zurück in ihrer Historie gerade auf der SDN-Liste gelandet ist, reicht die Börse eine Meldung ein und macht weiter. Sie sind derjenige, der eine Zahlung von 2023 erklären muss, von einem Kunden, an den Sie sich kaum erinnern.

Warum es TRON trifft

OFAC hat TRON-Adressen benannt, weil dort das Geld war. Auf TRON bewegt sich mehr USDT als auf jeder anderen Chain. Es ist billig und schnell, und es ist die Standardschiene für P2P-Handel und Freelancer-Zahlungen in Lateinamerika, Afrika und Teilen Asiens. Dieselben Eigenschaften machen es zur Standardschiene, um Erlöse aus Straftaten flüssig zu machen.

Es ist auch das Netzwerk, das die meisten Leute in Europa meinen, wenn sie „Zahl mir in USDT“ sagen. Wenn Sie Ihren Kunden Rechnungen in USDT-TRC20 stellen, sitzt Ihre Wallet auf derselben Chain wie die der Crew, und Ihre Gegenparteien nutzen dieselben P2P-Desks und dieselben Börsen. Ob Sie etwas falsch gemacht haben, spielt keine Rolle. Was zählt, ist, ob irgendein Teil des Geldes, das bei Ihnen ankam, durch dieselben Hände gegangen ist.

Tethers eigene Zahlen zeigen, wie viel Screening bereits auf Ebene des Emittenten stattfindet. Am 28. September, zwei Tage vor dieser Listung, erklärte das Unternehmen, es habe allein 2026 beim Einfrieren von rund 550 Millionen Dollar in USDT mit Iran-Bezug geholfen. Emittenten-Freezes folgen auf Listungen. Börsenprüfungen folgen auf Listungen. Geprüft wird die Historie Ihrer Wallet.

Was Sie diese Woche tun sollten

Eine Zahlung von 2023 können Sie nicht ungeschehen machen. Sie können aber wissen, wie Ihre Historie aussieht, bevor jemand anderes sie für Sie durchsieht.

• Screenen Sie Ihre eigenen Empfangsadressen, nicht nur Ihre Zahler. Wenn Sie seit ein paar Jahren in USDT auf TRON bezahlt werden, lassen Sie jede Adresse laufen, die Sie je benutzt haben, und lesen Sie die Befunde zu Sanktionen und indirekter Exposure.
• Wiederholen Sie das nach großen SDN-Updates. Das saubere Ergebnis vom letzten Monat wurde gegen die Liste vom letzten Monat gerechnet, und OFAC fügt in den meisten Monaten Krypto-Adressen hinzu.
• Heben Sie den Bericht auf. Ein datiertes Screening-Ergebnis von vor einer festgehaltenen Einzahlung ist mehr wert als jede Erklärung, die danach geschrieben wird.

Wenn Sie nicht wissen, wo Sie anfangen sollen: Sie können eine TRON- oder Ethereum-Adresse prüfen und bekommen in unter einer Minute ein Ergebnis zu Sanktionen, Mixern und Exposure. Prüfen Sie zuerst Ihre eigene Wallet.

Diese sieben Adressen haben über vier Jahre 6,1 Millionen Dollar bei einer großen Börse eingenommen, und jede Einzahlung ging durch, weil bis zum 30. September auf keiner Liste etwas stand, womit man sie hätte abgleichen können. Sanktionen sagen Ihnen nicht, was gestern falsch war. Sie sagen Ihnen, was die ganze Zeit falsch war.