Застосування стейблкоїнів у відмиванні грошей та фінансуванні тероризму: он-лайн аналіз на прикладі USDT

Останніми роками розвиток стейблкоїнів набирає обертів. З розширенням їх сфери застосування регулятори все більше зосереджуються на створенні механізмів заморожування незаконних коштів. Основні стейблкоїни, такі як USDT та USDC, технічно вже мають цю можливість. На практиці ці механізми дійсно відіграють роль у боротьбі з відмиванням грошей та іншими незаконними фінансовими операціями.

Дослідження показують, що стейблкоїни використовуються не лише для відмивання грошей, але й часто з'являються у процесах фінансування терористичних організацій. У цій статті буде проведено аналіз з двох точок зору:

1. Систематичний огляд замороження адрес у чорному списку USDT;
2. Дослідження зв'язку між замороженими коштами та фінансуванням тероризму.

1. Аналіз адрес чорного списку USDT

Ми ідентифікуємо та відстежуємо адреси з чорного списку Tether за допомогою моніторингу подій у блокчейні. Метод аналізу був перевірений через вихідний код смарт-контракту Tether. Основна логіка така:

• Виявлення подій: Контракт Tether підтримує статус чорного списку за допомогою двох подій:

  • Додано адресу в чорний список
  • Видалити адреси зі списку чорного

• Побудова набору даних: для кожної заблокованої адреси зафіксуйте такі поля:

  • Адреса сама по собі
  • Час додавання до чорного списку
  • Якщо адреса буде вилучена з чорного списку, то запишіть час скасування.

1.1 Основні висновки

На основі даних Tether у блокчейні Ethereum та Tron ми виявили такі тенденції:

З 1 січня 2016 року до чорного списку було внесено 5,188 адрес, що призвело до замороження коштів на суму понад 2,9 мільярда доларів.

Лише з 13 по 30 червня 2025 року було заблоковано 151 адресу, з яких 90,07% походять з мережі Tron, а заморожена сума склала 8 634 000 доларів. Розподіл часу подій у чорному списку: пікові дати - 15, 20 і 25 червня, при цьому 20 червня заблоковано 63 адреси за один день.

• Розподіл заморожених коштів: адреси, що займають перші десять місць за сумою, загалом заморозили 5,345 мільйона доларів США, що становить 61,91% від загальної суми заморожених коштів. Середня сума заморожених коштів становить 57,18 тисячі доларів США, але медіана лише 40 тисяч доларів США, що свідчить про те, що невелика кількість великих адрес підвищує загальну середню суму, тоді як більшість адрес має невелику заморожену суму.

• Розподіл коштів за життєвим циклом: ці адреси в цілому отримали кошти на суму 808 мільйонів доларів США, з яких 721 мільйон доларів США були переведені до того, як їх заблокували, лише 86,34 мільйона доларів США фактично було заморожено. Це свідчить про те, що більшість коштів були успішно переведені до втручання регуляторів. Крім того, 17% адрес взагалі не мають записів про вихід коштів, можливо, використовуючи їх як тимчасове сховище або точки агрегації коштів, що заслуговує на подальшу увагу.

• Нові створені адреси легше потрапляють до чорного списку: 41% адрес у чорному списку були створені менше ніж 30 днів тому, 27% існують від 91 до 365 днів, лише 3% використовуються більше 2 років, що свідчить про те, що нові адреси частіше використовуються для незаконної діяльності.

• Більшість адрес реалізують "втечу перед замороженням": близько 54% адрес до того, як були занесені до чорного списку, вже перевели понад 90% своїх коштів, ще 10% на момент замороження мали залишок 0, що свідчить про те, що більшість правоохоронних дій можуть лише заморожувати залишкову вартість коштів.

• Нові адреси мають вищу ефективність відмивання грошей: за допомогою діаграми розсіювання FlowRatio проти DaysActive ми виявили, що нові адреси відзначаються високими показниками як за кількістю, так і за частотою потрапляння в чорний список та ефективністю переказів, а також мають найвищий рівень успішності відмивання грошей.

1.2 Слідкування за рухом коштів

За допомогою інструменту трекінгу у блокчейні від BlockSec ми додатково проаналізували рух коштів 151 адреси USDT, заблокованої з 13 по 30 червня, виявивши основні джерела та напрямки коштів.

1.2.1 Аналіз джерел фінансування

• Внутрішнє забруднення (91 адреса): ці адреси отримують кошти з інших заблокованих адрес, що свідчить про наявність високозв'язаної мережі відмивання грошей.

• Риболовні мітки (37 адрес): багато верхніх адрес позначені як "Fake Phishing", що може бути обманливим маркуванням для приховування незаконного походження.

• Гарячий гаманець біржі (34 адреси): джерело фінансування включає в себе деякі гарячі гаманці біржі, які можуть бути пов'язані з вкраденими рахунками або "муловими рахунками".

• Один основний розподілювач (35 адрес): один і той самий адреса з чорного списку неодноразово виступає як верхній, можливо, як агрегатор або міксер для розподілу коштів.

• Вхід для кросчейн-мосту (2 адреси): частина коштів походить від кросчейн-мосту, що вказує на наявність операцій з відмивання грошей у блокчейні.

1.2.2 Аналіз напрямків фінансування

• Переміщення до інших адрес у чорному списку (54): між адресами в чорному списку існує структура "внутрішнього циклічного ланцюга".

• Напрямок до централізованих бірж (41): ці адреси переводять кошти на адреси поповнення певних бірж, реалізуючи "вихід".

• Напрямок до крос-чейн моста (12): вказує на те, що частина коштів намагається втекти з оригінальної екосистеми, продовжуючи відмивання грошей через крос-чейн.

Варто зазначити, що деякі біржі одночасно з'являються на обох кінцях грошових потоків (гарячий гаманець) та витоків (адреса поповнення), що додатково підкреслює їхню центральну позицію в ланцюзі фінансування. Нинішнє недостатнє виконання біржами вимог AML/CFT та затримка у заморожуванні активів можуть дозволити злочинцям завершити переказ активів до втручання регуляторів.

Ми рекомендуємо всім великим криптовалютним біржам, як основному каналу фінансів, посилити моніторинг в реальному часі та механізми перехоплення ризиків, щоб запобігти можливим проблемам.

2. Аналіз фінансування тероризму

Щоб краще зрозуміти використання USDT в терористичному фінансуванні, ми проаналізували адміністративний арешт, опублікований Національним управлінням з боротьби з терористичним фінансуванням Ізраїлю. Незважаючи на те, що єдиний джерело даних, яке ми використали, важко відтворити повну картину, але ми використовуємо його як репрезентативну вибірку для оцінки консервативного аналізу та оцінки транзакцій USDT, пов'язаних з тероризмом.

2.1 Основні знахідки

• Час публікації: з моменту ескалації конфлікту між Ізраїлем та Іраном 13 червня 2025 року було видано лише 1 новий арештний наказ (26 червня). Попередній документ датований 8 червня, що свідчить про затримку у реагуванні правоохоронних органів під час геополітичної напруги.

• Цільова організація: з моменту спалаху конфлікту 7 жовтня 2024 року було видано 8 наказів про затримання, з яких 4 чітко згадують "ХАМАС", а останній наказ вперше згадує "Іран".

• Адреси та активи, що підлягають арешту:
  • 76 монета USDT (Tron) адреса
  • 16 BTC адресів
  • 2 ефірні адреси
  • 641 акаунтів певної біржі
  • 8 акаунтів певної біржі

Наше ланцюгове відстеження адреси 76 USDT ( на TRON ) виявило два типи поведінки Tether у відповідь на ці офіційні вказівки:

1. Активне замороження: Tether вже до видання ордера на арешт додав 17 адрес, пов'язаних з Hamas, до чорного списку, в середньому за 28 днів, а в окремих випадках навіть за 45 днів.

2. Швидка реакція: для інших адрес Tether у середньому заморозив лише за 2,1 дня після оголошення про арешт, що демонструє хорошу спроможність співпраці з правозахисними органами.

Ці ознаки свідчать про те, що між Tether та деякими правоохоронними органами країн існує тісна, навіть попередня, співпраця.

3. Підсумок та виклики, з якими стикається AML/CFT

Наше дослідження показує, що хоча стейблкоїни, такі як USDT, забезпечують технологічні засоби для контролю за торгівлею, на практиці AML/CFT все ще стикається з такими викликами:

3.1 Основні виклики

• Запізніле правозастосування проти активного контролю: на даний момент більшість правозастосувальних дій все ще залежать від післяфактумного реагування, що залишає простір для злочинців для переміщення активів.

• Регуляторні сліпі зони біржі: централізовані біржі, як вузли для введення та виведення коштів, часто мають недостатній моніторинг, що ускладнює своєчасне виявлення аномальної поведінки.

• Кросчейн відмивання грошей стає все більш складним: використання багатоланцюгової екосистеми та кросчейн мостів робить переміщення коштів більш прихованим, а труднощі з відстеженням регулювання зростають.

3.2 Рекомендації

Ми рекомендуємо видавцям стейблкоїнів, біржам та регуляторам:

• Посилення обміну інформацією у блокчейні;
• Аналіз технологій поведінки інвестицій у реальному часі;
• Створення кросчейн-правового каркасу.

Тільки за наявності своєчасної, скоординованої та технологічно зрілої системи AML/CFT легітимність і безпека екосистеми стейблкоїнів можуть бути насправді забезпечені.