作者：BlockSec

0.引言

稳定币近年来发展迅猛。随着其广泛应用，监管机构也愈发强调建立一套能够冻结非法资金的机制。我们观察到，主流稳定币如USDT和USDC，已经在技术上具备这一能力。在实践中，已有多个案例表明，这些机制确实在打击洗钱和其他非法金融活动中发挥了作用。

更进一步，我们的研究表明，稳定币不仅用于洗钱，也频繁出现在恐怖组织的融资流程中。因此，本文从两个角度展开分析：

系统性回顾USDT黑名单地址的冻结行为；

探索被冻结资金与恐怖融资的关联。

本报告基于公开可获得的链上数据进行分析，可能存在不准确或遗漏。如有建议或更正，欢迎联系我们：[email protected]。

1.USDT黑名单地址分析

我们通过链上事件监测的方式，对Tether黑名单地址进行识别和追踪。分析方法已通过Tether智能合约源码验证。核心逻辑如下：

事件识别：Tether合约通过两个事件维护黑名单状态：

AddedBlackList：新增黑名单地址

RemovedBlackList：移除黑名单地址

数据集构建：我们对每个被拉黑的地址记录以下字段：

地址本身

加入黑名单的时间（blacklisted_at）

若地址被移出黑名单，则记录解除时间（unblacklisted_at）

以下是合约中相关函数的实现：

1.1核心发现

基于以太坊和波场（Tron）链上的Tether数据，我们发现如下趋势：

自2016年1月1日起，共有5,188个地址被加入黑名单，涉及冻结资金超过29亿美元。

仅在2025年6月13日至30日期间，就有151个地址被拉黑，其中90.07%来自Tron链（地址列表见附录），冻结金额高达8,634万美元。黑名单事件的时间分布：6月15日、20日和25日为拉黑高峰，其中6月20日当天单日拉黑地址数高达63个。

冻结金额分布：金额排名前十的地址共冻结5,345万美元，占总冻结金额的61.91%。平均冻结金额为57.18万美元，但中位数仅为4万美元，表明少量大额地址拉高了整体平均，绝大多数地址被冻结金额较小。生命周期资金分布：这些地址累计接收资金8.08亿美元，其中7.21亿美元在被拉黑前已被转出，仅有8,634万美元实际被冻结。这表明大部分资金在监管介入前已被成功转移。此外，有17%的地址完全没有出账记录，可能作为临时存储或资金聚合点，值得进一步关注。新创建地址更易被拉黑：41%的黑名单地址创建时间不足30天，27%存续时间为91–365天，仅有3%使用时间超过2年，说明新地址更易被用于非法活动。多数地址实现“冻结前出逃”：约54%的地址在被拉黑前已转出其90%以上的资金，另有10%在冻结时余额为0，表明执法行动多数只能冻结资金残值。新地址洗钱效率更高：通过FlowRatiovs.DaysActive散点图我们发现，新地址在数量、被拉黑频率和转账效率方面都表现突出，洗钱成功率最高。1.2资金流向追踪

通过BlockSec的链上追踪工具MetaSleuth(https://metasleuth.io)，我们进一步分析了6月13日至30日间被拉黑的151个USDT地址的资金流动，从中识别出主要的资金来源与流向。

1.2.1资金来源分析

内部污染（91个地址）：这些地址的资金来自其他已被拉黑地址，表明存在高度互联的洗钱网络。

钓鱼标签（37个地址）：许多上游地址在MetaSleuth中被标注为“FakePhishing”，可能是掩盖非法来源的欺骗性标签。

https://metasleuth.io/result/tron/THpNSa3BMNPPzVNTPZ6aTmRsVzGR6uRmma?source=26599be9-c3a9-42a6-a2ae-b6de72418003

交易所热钱包（34个地址）：资金来源包括Binance（20）、OKX（7）和MEXC（7）等交易所热钱包，可能与被盗账户或“骡子账户”相关。

单一主要分发者（35个地址）：同一个黑名单地址多次作为上游，可能作为聚合器或混币器进行资金分发。

跨链桥接入口（2个地址）：资金部分来源于跨链桥，表明存在跨链洗钱操作。

1.2.2资金去向分析

流向其他黑名单地址（54个）：黑名单地址之间存在“内部循环链”的结构。

流向中心化交易所（41个）：这些地址将资金转入如Binance（30）、Bybit（7）等CEX的充值地址，实现“下车”。

流向跨链桥（12个）：表明部分资金试图逃离Tron生态，继续跨链洗钱。

https://metasleuth.io/result/tron/TBqeWc1apWjp5hRUrQ9cy8vBtTZSSnqBoY?source=ddea74a3-fb52-4203-846a-c7be07fbb78d

值得注意的是，Binance和OKX同时出现在资金流入（热钱包）和流出（充值地址）两端，进一步凸显其在资金链中的核心位置。当前交易所对AML/CFT的执行不足以及资产冻结滞后，可能让不法分子在监管介入前完成资产转移。

我们建议各大加密交易平台作为资金的核心通道，应加强实时监测与风险拦截机制，防患于未然。

https://metasleuth.io/result/tron/TFjqBgossxvtfrivgd6mFVhZ1tLqqyfZe9?source=7ba5d0da-d5b5-41ab-b54c-d784fb57f079

2.恐怖融资分析

为了进一步理解USDT在恐怖融资中的使用情况，我们分析了以色列国家反恐融资局（NBCTF）发布的行政扣押令（AdministrativeSeizureOrders）。尽管我们采用的单一数据源难以还原全貌，但将其作为代表性样本，用于评估USDT涉恐交易的保守分析和估计。

2.1核心发现

发布时点：自2025年6月13日以色列-伊朗冲突升级后，仅新增1份扣押令（6月26日）。而上一份文件停留在6月8日，显示出在地缘紧张时期执法响应存在滞后。

目标组织：自2024年10月7日冲突爆发以来，NBCTF共发布8份扣押令，其中4份明确提到“哈马斯”，而最新一份则首次提到“伊朗”。

扣押令涉及到的地址和资产：

76个USDT（Tron）地址

16个BTC地址

2个以太坊地址

641个Binance账户

8个OKX账户

我们对76个USDT(Tron)地址的链上追踪揭示了Tether在响应这些官方指令时的两种行为模式：

主动冻结：Tether在扣押令发布前就已将其中17个Hamas相关地址加入黑名单，平均提前28天，最早甚至提前了45天。

快速响应：对其余地址，Tether在扣押令公布后平均仅用2.1天即完成冻结，显示出良好的执法配合能力。

这些迹象表明，Tether与一些国家执法机构之间存在密切，甚至前置性的合作机制。

3.总结与AML/CFT面临的挑战

我们的研究显示，虽然稳定币如USDT为交易可控性提供了技术手段，但在实践中AML/CFT仍面临以下挑战：

3.1核心挑战

滞后执法vs主动防控：目前多数执法行为仍依赖事后处理，留给不法分子转移资产的空间。

交易所的监管盲区：中心化交易所作为进出金枢纽，往往监测不足，难以及时识别异常行为。

跨链洗钱愈发复杂：多链生态和跨链桥的使用，使得资金转移更隐蔽，监管追踪难度倍增。

3.2建议

我们建议稳定币发行方、交易所及监管机构：

加强链上情报共享；

投资实时行为分析技术；

建立跨链合规框架。

只有在及时、协同、技术成熟的AML/CFT体系下，稳定币生态系统的合法性和安全性才能得到真正保障。

4.BlockSec的努力

在BlockSec，我们致力于推动加密行业的安全性与合规性建设，专注于为AML和CFT提供可落地、可操作的链上解决方案。我们推出了两项关键产品：

4.1PhalconCompliance

专为交易所、监管机构、支付项目和DEX设计，支持：

多链地址风险评分

实时交易监控

黑名单识别与告警

帮助用户满足日益严格的合规要求。

4.2MetaSleuth

我们的可视化链上追踪平台，已被全球20多家监管与执法机构采用。它支持：

可视化资金追踪

多链地址画像

复杂路径还原与分析

这两款工具共同体现了我们的使命——守护去中心化金融系统的秩序与安全。

文中涉及的部分地址：

https://docs.google.com/spreadsheets/d/1pz7SPTY2J4S7rGMiq6Dzi2Q5p0fXSGKzl9QF2PiV6Gw/edit?usp=sharing