Anomalia del 14 maggio: Tether ha sbloccato 497 indirizzi per 79 mln $ USDT in un'ora
In 72 minuti Tether ha rimosso 497 indirizzi dalla blacklist USDT per 79,18 mln $ — uno su due eventi UNBAN nella storia del contratto è avvenuto in quest'ora. Analizziamo le tre ondate tra Ethereum e TRON, come la coorte è entrata in blacklist a marzo e cosa significa lo sblocco di massa per la compliance.
Il 14 maggio 2026 Tether ha rimosso 497 indirizzi USDT dalla blacklist in una finestra tra le 18:58 e le 20:10 UTC. Gli indirizzi contenevano 79,18 mln $ USDT — 7,52 mln $ su Ethereum e 71,66 mln $ su TRON. Per numero di indirizzi: 50 su Ethereum, 447 su TRON.
Per USDT è un'anomalia. Non perché lo sblocco sia tecnicamente inusuale — la funzione esiste nel contratto e viene usata regolarmente. Ma perché gli sblocchi individuali sono quasi sempre isolati. Una volta che un indirizzo finisce in blacklist, storicamente meno del 7% di essi torna a uscirne.
Su questo baseline, quasi 500 indirizzi sbloccati in un'ora è eccezionale. E il titolo non è la cifra in dollari — sono gli strati temporali: gli indirizzi sono stati bloccati in una finestra breve, hanno trascorso all'incirca lo stesso tempo in blacklist e sono stati rimossi quasi simultaneamente.
Cosa significa essere in blacklist USDT
Tether ha la capacità tecnica di bloccare USDT su uno specifico indirizzo blockchain. Dopo tale blocco, i token continuano ad apparire nel saldo, ma il proprietario dell'indirizzo non può più spostarli.
Ciò che viene bloccato non è l'intero indirizzo su Ethereum o TRON, ma solo la capacità di disporre di USDT. L'utente vede ancora il saldo, può ricevere trasferimenti in entrata, può talvolta operare con altri asset — ma un trasferimento USDT in uscita non passa.
Lo sblocco è l'operazione inversa: l'indirizzo viene rimosso dalla blacklist e gli USDT possono essere inviati di nuovo.
On-chain appare come un evento tecnico. Ma la ragione della decisione vive quasi sempre off-chain — una richiesta delle forze dell'ordine, un perimetro sanzionatorio, una decisione giudiziaria, una rivalutazione interna del rischio o l'esito di un'indagine. La meccanica è coperta nel nostro articolo pillar «Anatomia di una blacklist USDT».
Perché è un evento eccezionale
Storicamente gli sblocchi USDT sono rari. Subito prima del 14 maggio 2026 c'erano 988 eventi UNBAN nell'intera storia del contratto USDT. 497 eventi in una sola ora sono il 50,3% di tutta l'attività di unban mai registrata. Uno su due sblocchi nella storia di USDT è avvenuto in quest'ora.
Per confronto: uno sblocco tipico sembra un caso isolato. Un indirizzo, un motivo, una revisione separata. Può essere un'attribuzione errata corretta, una prova riuscita dell'origine dei fondi, una decisione giudiziaria, una rivalutazione del rischio per utente, o un cambio di posizione dell'agenzia che aveva originariamente richiesto il blocco.
In quest'ultimo caso Tether non decide nel vuoto. Se il blocco originale è stato fatto su richiesta delle forze dell'ordre, la logica dello sblocco torna spesso allo stesso iniziatore — deve confermare che le ragioni per mantenere l'indirizzo in blacklist non si applicano più.
Il 14 maggio il quadro era diverso. L'anomalia chiave non è la cifra — è la concentrazione di un evento storicamente raro in una sola ora.
Tre ondate in 72 minuti
L'inquadratura «sblocco di massa» fa pensare a un'unica serie densa. La realtà è più precisa: gli eventi del 14 maggio si sono distribuiti in tre ondate distinte tra due chain.
La struttura delle ondate punta a una coordinazione cross-chain. L'ondata TRON è compressa in un blocco di 30 minuti, e le ondate ETH la circondano simmetricamente — mezz'ora prima e 5 minuti dopo. Operativamente è coerente con un modello in cui le liste di indirizzi per le due chain sono state preparate in parallelo, l'esecuzione è stata innescata insieme, ma ha dovuto attraversare configurazioni multisig diverse (stile Gnosis su ETH, owner-permission su TRON).
Otto ondate di blocco: dal 24 marzo al 2 aprile
I 497 indirizzi sono stati bloccati in una finestra stretta tra il 24 marzo e il 2 aprile 2026. On-chain è apparso come otto ondate ravvicinate.
Ciò che conta qui non è solo la densità delle date, ma anche la distribuzione degli importi. Il 26 marzo è arrivata l'ondata più grande per numero di indirizzi — 153 indirizzi per 15,24 mln $. Ma il 27 marzo sono stati bloccati solo 22 indirizzi, e quel piccolo gruppo ha prodotto l'importo massimo: 19,08 mln $. La coorte conteneva indirizzi di scala molto diversa — alcuni con saldi modesti, altri con saldi consistenti.
Lo scenario probabile è una revisione a tappe: gli indirizzi sono stati raccolti per segnali condivisi, e i lotti intermedi sono stati inviati all'approvazione del blocco man mano che erano pronti. Per questo vediamo più ondate on-chain invece di un singolo momento.
Un percorso breve dalla decisione al blocco
I blocchi USDT hanno due fasi. Prima arriva il preban — un'istruzione di blocco futuro accodata via submit-tx del multisig. Poi il ban — l'inserimento effettivo nella blacklist via execute-tx. L'intervallo tra i due è la finestra di reazione. Fino al ban l'indirizzo può ancora inviare USDT. Dopo il ban i trasferimenti in uscita sono bloccati dal contratto.
Negli ultimi 90 giorni il tempo mediano tra preban e ban su Tether è di almeno un'ora. Su questo sfondo, questa coorte appare nettamente più veloce.
Nel quadro normale degli ultimi 90 giorni l'intervallo tra preparazione del blocco ed esecuzione si misura in ore. In questa coorte — 1 a 2 minuti. Quando appare il preban le decisioni erano già prese; l'esecuzione tecnica è stata praticamente immediata.
Cosa è successo a USDT durante il blocco
Al momento del blocco i 497 indirizzi detenevano circa 77,04 mln $ USDT. Al momento dello sblocco — già 79,18 mln $. Un delta di 2,14 mln $ di crescita.
È possibile perché il blocco Tether vieta solo i trasferimenti USDT in uscita, non quelli in entrata. I fondi possono continuare ad arrivare su un indirizzo bloccato — ma il proprietario non può spostarli.
La crescita, tuttavia, è stata distribuita in modo non uniforme. La maggior parte degli indirizzi non è cambiata. Delta mediano — 0 $. Solo 54 indirizzi hanno ricevuto fondi aggiuntivi durante il blocco. Il guadagno massimo su un singolo indirizzo è stato di circa 750 K$.
Come apparivano gli indirizzi al momento del blocco
La distribuzione dei saldi mostra che non siamo davanti a un singolo grande indirizzo blockchain, né a un gruppo casuale di piccoli utenti.
L'indirizzo più grande deteneva circa 9,01 mln $ su TRON. Il secondo più grande — circa 2,24 mln $ su Ethereum. Alcuni altri grandi indirizzi su TRON detenevano tra 1 mln $ e 2,1 mln $.
Ma il grosso non sono wallet milionari. Circa il 76% della coorte è nella fascia 10 K$–1 M$ (197 + 183 = 380 indirizzi).
Questo profilo somiglia soprattutto a indirizzi di deposito clienti di un servizio centralizzato: un exchange, un cambiavalute, un processore di pagamenti o un canale OTC. In quel modello ogni cliente o gruppo di operazioni può avere il proprio indirizzo, e il saldo riflette l'attività per utente o per segmento, non il capitale totale del servizio.
Perché alcuni erano vuoti
33 indirizzi sono stati bloccati con saldo zero.
Non è necessariamente un errore. Se un indirizzo è già collegato a una catena rischiosa, a una infrastruttura particolare o a flussi in entrata attesi, può essere bloccato preventivamente. Tale blocco funziona come una barriera preventiva: non c'è USDT sull'indirizzo ora, ma se arrivano fondi non si potranno spostare.
In questo gruppo gli indirizzi a saldo zero rafforzano la versione di una scansione analitica ampia. I blocchi probabilmente coprivano non solo indirizzi con saldi attivi, ma anche indirizzi visti come parte di uno stesso schema, servizio o infrastruttura collegata.
L'impronta operativa degli indirizzi
Lo storico delle transazioni mostra che la coorte non era un insieme di indirizzi casuali o «vuoti». Sia su Ethereum che su TRON una parte significativa degli indirizzi aveva attività visibile ben prima del blocco: trasferimenti in entrata e in uscita, un ampio grafo di controparti, fonti ricorrenti del token nativo per pagare le commissioni.
È uno strato analitico importante. Il saldo mostra quanto USDT c'era sull'indirizzo al blocco. Ma lo storico delle transazioni mostra altro: come l'indirizzo era usato prima. Qui molti indirizzi sembrano non casseforti passive ma indirizzi di lavoro.
Un indirizzo si distingue a parte: TGLUmho8ahFKBqDmuBqzApMeD29Q3fW6dw. Secondo l'attribuzione disponibile, è un hot wallet dell'exchange iraniano Nobitex.ir.
Cosa significa davvero uno sblocco di massa
Uno sblocco di massa non significa che gli indirizzi siano diventati «puliti» dal punto di vista legale.
La blacklist Tether è un sistema. Le liste di sanzioni, le indagini, le regole interne degli exchange, i controlli bancari e le procedure delle forze dell'ordine sono altri sistemi.
Tether che rimuove il blocco significa solo che quello specifico indirizzo non è più ristretto a livello di contratto USDT. Non cancella alcuna domanda aperta sull'origine dei fondi, sulle controparti o sulle operazioni passate.
Per i team di compliance quell'indirizzo va trattato come un segnale misto. Da un lato Tether ha rimosso la restrizione. Dall'altro, il semplice fatto di essere stato nella coorte di rischio di marzo resta rilevante.
Se un tale indirizzo compare nel vostro storico operativo, bisogna guardare il contesto:
- quando è avvenuto il contatto,
- da dove sono arrivati i fondi,
- se ci sono state intersezioni con indirizzi rischiosi,
- se lo status della controparte è cambiato dopo il 14 maggio,
- se rischi sanzionatori o di forze dell'ordre persistono fuori dal sistema Tether.
Tether ha rimosso la barriera al livello del contratto del token; tutto il resto vive in sistemi separati con regole proprie, e ciascuno decide secondo i propri criteri.
— Lo sblocco tecnico non equivale a riabilitazione legale