Восемь подсанкционных Tron-кошельков хуситов: через них прошло $915 млн — а заморозка, которая сработала, случилась за четыре месяца до санкций

2 апреля 2025 года OFAC, управление по санкциям Минфина США, внесло в список сеть финансовых посредников и закупщиков хуситов, которые, по его словам, работали с Саидом аль-Джамалем — высокопоставленным финансистом хуситов, которого поддерживают силы «Кудс» иранского КСИР. По данным Минфина, сеть закупала оружие и другие товары в России и вывозила украденное украинское зерно на подконтрольную хуситам территорию Йемена.

В тот же день OFAC изменило запись самого «Ансар Аллах» и добавило в неё восемь адресов Tron, все с пометкой USDT. То есть адреса стоят в записи самой группировки, а не какого-то человека. Кто ими управляет — утверждение OFAC, не наше. Ниже — то, что они делали в блокчейне. По каждому из восьми полученные USDT минус отправленные равны остатку, так что подсчёт полный.

Извне восемь кошельков получили 915,5 млн USDT с 1 229 адресов и выплатили 914,8 млн на 776. Разница — то, что заморожено.

Почти всё прошло через один кошелёк, TQ5mpZPbQMSq2s1vSM3RJgiB1AsTsiTpFZ. Первый платёж он получил 17 ноября 2023 года, последний — 1 октября 2024 года. За это время он принял 822,7 млн USDT в 6 103 переводах. С февраля по июнь 2024 года через него проходило больше 100 млн в месяц, пик — 181 млн в мае. Потом поток сошёл на нет: 37 млн в июле, 77 млн в августе, 9 млн в сентябре и ничего после первого дня октября.

Остальные семь заметно меньше: 36,4 млн, 35,0 млн, 20,0 млн, 15,9 млн, 2,5 млн, 1,06 млн и кошелёк, который получил один перевод на 1 млн и сразу отправил его дальше.

Тот же санкционный список записывает несколько кошельков Tron на самого Саида аль-Джамаля. Семь из восьми кошельков «Ансар Аллах» работали с пятью из них: 41,9 млн USDT пришло с кошельков аль-Джамаля и 39,6 млн ушло на них — всего 81,5 млн, с декабря 2023 по ноябрь 2024 года. Крупнейший разовый платёж — 6 829 503 USDT с TV5ZTpKDszLTF6XcMnPongS33pwBgF91by 7 октября 2024 года.

Это не вывод по косвенным признакам. Обе стороны этих переводов стоят в санкционном списке США: под группировкой и под человеком, которого Минфин называет её финансистом.

9 декабря 2024 года в 20:51 UTC кошелёк TM6Kix9wH8cYQ4rLpFifsQ4ddH3rPX3f8p получил ровно 1 000 000 USDT. Через две минуты он отправил 409 000 дальше. На следующий вечер, 10 декабря в 21:12 UTC, Tether внесла его в чёрный список с 700 519 USDT на балансе, а за пятнадцать секунд до этого — ещё один кошелёк из восьми, с 49 799 USDT. Оба остатка лежат там до сих пор.

Это почти за четыре месяца до того, как OFAC внесло эти адреса в список. Остальные шесть попали в чёрный список 2 апреля 2025 года, с 18:06:57 до 18:07:18 UTC, в день санкций. Вместе на них было 24 цента. Так что 750 318 USDT, замороженные сегодня, поймала более ранняя акция, а не санкции.

Один из восьми, TXEaKf4rT3rMoD3Vuqnuhwr6vLq6BL5t33, ведёт себя как депозитный адрес Binance: все его исходящие переводы, всего 1 056 544 USDT, ушли на один кошелёк, подписанный как собственный кошелёк Binance, обычно в течение минуты после поступления. Он работал до конца. 2 апреля 2025 года в 14:05 UTC он получил 10 000 USDT, а в 14:06 деньги были на Binance. Через четыре часа Tether внесла адрес в чёрный список.

Как и в случае с кошельками Tren de Aragua, которые мы разбирали раньше, чёрный список депозитного адреса мало что останавливает: деньги там не задерживаются. Важен аккаунт за ним, а видеть и замораживать его может только биржа.

822,7 млн на главном кошельке пришли с 929 адресов и ушли на 546. Напрямую через биржи прошла очень малая часть: кошельки, подписанные в нашей базе как биржевые, прислали восьми меньше 3% полученного.

У исходящего потока форма яснее. Около 72% выплат главного кошелька ушло на кошельки, созданные пачками в те же дни, что и он сам: четырнадцать открыты 17, 20 и 21 ноября 2023 года, ещё четырнадцать — 29 и 30 апреля 2024 года. Кошельки каждой пачки и замолкли вместе: прочитанные нами из первой остановились вечером 21 мая 2024 года, из второй — в ночь на 4 января 2025 года. Шесть крупнейших передали дальше от 130 до 270 млн USDT каждый, на сотни адресов.

Кошельки, которые открывают вместе и выключают вместе, — это рабочие кошельки одного оператора, сменяемые посменно. Это похоже на выплатную сторону обменного деска или денежного брокера, а не на сотни независимых клиентов. Назвать оператора по блокчейну мы не можем, и эти кошельки мы не помечали.

Выделяются три вещи. Первая: замороженные деньги поймала собственная акция Tether в декабре 2024 года, а не санкции, — к апрелю 2025 года главный кошелёк простаивал полгода, а из остальных работал только депозитный адрес. Вторая: связи документирует сам список. Восемьдесят один миллион долларов прошёл между кошельками группировки и кошельками её названного финансиста, причём в USDT в сети Tron, где виден каждый перевод. Третья: основная масса денег ушла на сменяемый набор кошельков одного оператора. Санкции назвали адреса группировки, а не этого оператора.

В нашей базе все восемь адресов, как и адреса аль-Джамаля, несут санкционную метку из списка OFAC, а у адресов, которые отправляли им деньги, эта связь показана как причина риска. Кошельки из пачек, биржи и других контрагентов мы не помечали. Проверить любой адрес можно на странице проверки адреса. Другие подсанкционные кошельки, которые мы прочитали в Tron: ЦБ Ирана, ИГИЛ-Хорасан и сеть ХАМАС, Tren de Aragua.

Она не говорит, кто управляет каким-либо кошельком, кроме повторения атрибуции OFAC. Она не говорит, что отправители знали, кому платят. Она не говорит, что 915,5 млн — это деньги хуситов или все их деньги; только что столько прошло через восемь внесённых в список адресов в USDT в сети Tron. Она не называет оператора кошельков из пачек. «Binance» означает кошелёк, подписанный в нашей базе как собственный кошелёк биржи.