Аномалия 14 мая: Tether разморозил 497 адресов на $79 млн USDT за один час

14 мая 2026 года Tether снял блокировку с 497 адресов USDT в окне между 18:58 и 20:10 UTC. На этих адресах находилось $79,18 млн USDT — $7,52 млн на Ethereum и $71,66 млн на TRON. По числу адресов это 50 в Ethereum и 447 в TRON.

Для USDT это аномалия. Не потому, что разморозка как функция необычна — она существует в контракте и используется регулярно. А потому, что разблокировки почти всегда идут штучно. Если адрес попал в blacklist, исторически вероятность последующего выхода из него — менее 7%.

На этом фоне почти 500 размороженных адресов за час — исключительное событие. И главное здесь не сумма, а совпадение нескольких слоёв во времени: адреса были заблокированы в коротком окне, провели в blacklist примерно одинаковый срок и были сняты с ограничения почти одновременно.

Что значит блокировка USDT

У Tether есть техническая возможность заблокировать USDT на конкретном блокчейн-адресе. После такой блокировки токены продолжают отображаться на балансе, но владелец адреса больше не может их перевести.

Блокируется не весь адрес в Ethereum или TRON — только возможность распоряжаться именно USDT. Пользователь может видеть баланс, может получать входящие переводы, может иногда совершать операции с другими активами, но исходящий перевод USDT не пройдёт.

Разморозка — обратное действие: адрес удаляется из blacklist, и USDT снова можно отправлять.

В блокчейне это видно как техническое событие. Но причина решения почти всегда находится вне блокчейна — запрос правоохранительных органов, санкционный контур, судебное решение, внутренняя оценка риска или результат расследования. Подробно механика разобрана в нашей pillar-статье «Анатомия блокировки USDT».

Почему это исключительное событие

Исторически разблокировки USDT редки. По состоянию на момент перед 14 мая 2026, за всё время существования USDT-контракта было зафиксировано 988 UNBAN-событий. 497 событий за один час — это 50,3% всей исторической статистики разморозок. Каждая вторая разморозка USDT в истории случилась в этот час.

Для сравнения: типичная разморозка выглядит как одиночный кейс. Один адрес, отдельное основание, отдельная проверка. Это может быть ошибка в атрибуции, подтверждение происхождения средств, судебное решение, пересмотр риска по конкретному пользователю или изменение позиции органа, который изначально инициировал блокировку.

В последнем случае Tether не принимает решение в вакууме. Если блокировка была выполнена по запросу law-enforcement, логика разблокировки часто возвращается к тому же инициатору — именно он должен подтвердить, что основание для удержания адреса в blacklist больше не действует.

14 мая картина была иной. Ключевая аномалия — не сумма, а концентрация исторически редкого события в одном часе.

Три пачки за 72 минуты

В нарратив о «массовой разморозке» легко вписать одну плотную серию. Реальность точнее: события 14 мая прошли тремя чёткими пачками между двумя сетями.

Структура пачек указывает на координацию между chain. TRON-волна спрессована в 30-минутный блок, и ETH-пачки симметрично окружают её с двух сторон — за полчаса до и через 5 минут после. На уровне инфраструктуры это согласуется с моделью, где списки адресов на разморозку для двух сетей готовились параллельно, а исполнение запускалось общим триггером, но проходило через разные multisig (Gnosis-style на ETH, owner-permission на TRON).

Восемь волн блокировок: с 24 марта по 2 апреля

Все 497 адресов были заблокированы в коротком окне с 24 марта по 2 апреля 2026 года. На блокчейне это выглядело как восемь близких по времени волн.

Здесь важна не только плотность дат, но и разбивка по суммам. 26 марта была заблокирована крупнейшая по числу адресов волна — 153 адреса на $15,24 млн. Но 27 марта заблокировали всего 22 адреса, и именно эта небольшая группа дала максимальную сумму — $19,08 млн. Это показывает: внутри общей когорты были адреса разного масштаба — часть с относительно небольшими остатками, часть с крупными балансами.

Вероятный сценарий — поэтапная проверка: адреса собирались по общим признакам, и промежуточные результаты по мере готовности уходили на согласование блокировки. Поэтому в блокчейне видим несколько волн, а не один момент.

Короткий путь от решения к блокировке

В блокировках USDT есть два этапа. Сначала появляется preban — операция на будущую блокировку через multisig submit-tx. Затем ban — фактическое добавление адреса в blacklist через execute-tx. Промежуток между ними — окно реакции. До ban адрес ещё может отправлять USDT. После ban исходящие переводы блокируются контрактом.

За последние 90 дней медианное время между preban и ban у Tether составляет не менее часа. На этом фоне исследуемая когорта выглядит заметно быстрее.

В обычной картине последних 90 дней окно между подготовкой блокировки и её исполнением измеряется часом или больше. В этой когорте — 1–2 минутами. Значит, к моменту появления preban решения по адресам уже были подготовлены, и техническое исполнение шло почти сразу.

Что происходило с USDT во время блокировки

На момент блокировки на 497 адресах находилось около $77,04 млн USDT. На момент разморозки — уже $79,18 млн. Разница — $2,14 млн прироста.

Это стало возможным потому, что блокировка Tether запрещает только исходящие переводы USDT, но не мешает входящим. Средства на заблокированный адрес могут продолжать поступать — но вывести их оттуда владелец не может.

Однако рост баланса был распределён неравномерно. У большинства адресов баланс не изменился. Медианное изменение — $0. Только 54 адреса получили дополнительные входящие средства во время блокировки. Максимальный прирост на одном адресе — около $750 тыс.

Как выглядели адреса на момент блокировки

Распределение балансов показывает, что перед нами не один крупный блокчейн-адрес и не группа случайных мелких пользователей.

Крупнейший адрес держал около $9,01 млн в TRON. Второй по размеру — около $2,24 млн в Ethereum. Ещё несколько крупных адресов в TRON держали от $1 млн до $2,1 млн.

Но главная масса — не миллионные кошельки. Около 76% когорты находились в диапазоне от $10 тыс. до $1 млн (197 + 183 = 380 адресов).

Это распределение больше всего напоминает клиентские депозитные адреса централизованного сервиса: биржи, обменного направления, платёжного посредника или внебиржевого канала. В такой модели у каждого клиента или группы операций может быть отдельный адрес, а баланс отражает не весь капитал сервиса, а активность конкретного пользователя или сегмента.

Почему среди них были пустые адреса

33 адреса были заблокированы с нулевым балансом.

Это не обязательно ошибка. Если адрес уже связан с рискованной цепочкой, с определённой инфраструктурой или с ожидаемым потоком средств, его могут заблокировать заранее. Такая блокировка работает как превентивный барьер: сейчас на адресе нет USDT, но если средства туда придут, вывести их уже не получится.

В этой группе нулевые адреса усиливают версию о большой аналитической проверке. Вероятно, блокировали не только адреса с текущими остатками, но и адреса, которые рассматривались как часть одной схемы, сервиса или связанной инфраструктуры.

Операционный след адресов

История операций показывает, что когорта не была набором случайных или «пустых» адресов. И в Ethereum, и в TRON у значительной части адресов была заметная активность ещё до блокировки: входящие и исходящие переводы, широкий круг контрагентов и повторяющиеся источники нативного токена для оплаты комиссий.

Это важный слой анализа. Баланс показывает, сколько USDT находилось на адресе в момент блокировки. Но история транзакций показывает другое — как адрес использовался до этого. В данном случае часть адресов выглядит не как пассивные хранилища, а как рабочие адреса.

Отдельно обращает на себя внимание адрес TGLUmho8ahFKBqDmuBqzApMeD29Q3fW6dw. По имеющейся атрибуции он является горячим кошельком иранской биржи Nobitex.ir.

Что означает массовая разморозка

Массовая разморозка не означает, что все адреса стали «чистыми» с юридической точки зрения.

Blacklist Tether — это одна система. Санкционные списки, расследования, внутренние правила бирж, банковские проверки и law-enforcement процедуры — другие системы.

Снятие блокировки Tether означает только то, что конкретный адрес больше не ограничен на уровне USDT-контракта. Это не отменяет возможных вопросов к происхождению средств, контрагентам или прошлым операциям.

Для compliance-команд такой адрес должен рассматриваться как смешанный сигнал. С одной стороны, Tether снял ограничение. С другой — сам факт попадания в мартовскую группу риска остаётся важным.

Если такой адрес встречался в истории операций, нужно смотреть контекст:

• когда был контакт,
• откуда пришли средства,
• были ли пересечения с рискованными адресами,
• изменился ли статус контрагента после 14 мая,
• не сохраняются ли санкционные или law-enforcement риски вне системы Tether.

Tether снял барьер на уровне токен-контракта; всё остальное — отдельные системы со своими правилами, и каждая решает по своим критериям.

— Техническая разморозка не равна юридической реабилитации