Janela de congelamento da Tether continua exposta um ano após alerta da BitOK

Um ano depois de a BitOK publicar a primeira medição da vulnerabilidade, a janela entre a assinatura inicial e a execução do congelamento de USDT continua aberta. O relatório de reavaliação (disponível na BitOK), baseado em 24 meses de observação on-chain, revela que o valor extraído por bots interceptores nessa janela cresceu de US$ 20,9 milhões para US$ 127,6 milhões, um aumento de 6,1 vezes.

A vulnerabilidade é arquitetônica. O USDT é controlado por multisig, que exige três de seis signatários no Ethereum e dois de três no Tron. A primeira assinatura é registrada publicamente antes da confirmação final, e o alvo recebe notificação de que o congelamento está em andamento.

Basta uma transferência para uma carteira limpa antes da assinatura final para mover os fundos. A BitOK documentou 107 endereços onde isso aconteceu no período recente, contra 62 no período anterior.

Como funciona a janela de congelamento

O relatório destaca dois fluxos operacionais distintos. No primeiro, a Tether executa congelamentos urgentes com assinaturas preparadas off-chain que chegam em um único bloco, levando menos de dois minutos. No segundo, a maioria segue o fluxo padrão, com janelas que variam de minutos a dias.

A média ponderada por valor no Ethereum caiu de 1h14 para 13 minutos, mas o ponto de corte de 99% subiu de 2 dias e 7 horas para 5 dias e 4 horas, puxado por um caso em que um signatário ficou offline por quase uma semana.

A evolução incluiu um novo padrão, o atomic destroy, que executa congelamento e destruição em um único bloco. Antes de 2025, ocorrências eram raras, quatro pares entre 2017 e 2024, totalizando US$ 1,78 milhão. Em 2025, surgiram oito pares no Ethereum, com um caso de US$ 31,77 milhões vinculado ao protocolo GAIB.

No Tron, o volume de congelamentos cresceu 2,4 vezes, de 1.778 para 4.291 endereços, mas grande parte reflete varreduras em massa conduzidas pela T3 Financial Crime Unit, parceria entre Tether, Tron Foundation e TRM Labs. Endereços vazios representam 35,5% do total no período recente, contra 18,6% no anterior.

Quanto à reação dos bots no Tron é predominantemente manual, com notificações em Telegram e transações RAW pré-construídas. Dos 93 casos limpos recentes, apenas 2 tiveram reação abaixo de um segundo.

No Ethereum, por outro lado, 36% dos casos entraram na zona de velocidade MEV, incluindo uma série de cinco endereços em julho de 2025 onde o mesmo valor de US$ 3,83 milhão foi rolado por cinco carteiras em sete horas, com o bot batendo a assinatura final em 24 a 96 segundos. O caso mais emblemático envolve US$ 37,30 milhões extraídos de um endereço no Tron em julho de 2025, com janela de 5,7 minutos.

O bot converteu o USDT em TRX via SunSwap em quatro minutos, escapando permanentemente do contrato de congelamento.

Bots industriais e a resposta da Tether

Do lado da Tether, a resposta incluiu a T3 FCU, que em outubro de 2025 já havia congelado mais de US$ 4,2 bilhões em 1.800+ investigações. Grandes operações incluíram US$ 182 milhões no Tron em janeiro, US$ 225 milhões via DOJ em junho, US$ 544 milhões na Turquia em fevereiro de 2026 e US$ 344 milhões ligados ao Irã em abril de 2026.

Outra tendência persistente é o envio de fundos para endereços já na lista de congelamento. Ao longo de 24 meses, pessoas transferiram US$ 24,9 milhões para carteiras que já constavam no blacklist, com US$ 14,2 milhões no Tron e US$ 10,7 milhões no Ethereum.

A BitOK classifica a interceptação em cinco categorias, limpa, competição, parcial, fraca e ruído. Apenas os casos limpos entram nos números principais. Nos borderline, a empresa moveu US$ 51 milhões para apêndices para revisão AML individual.

No Tron, a infraestrutura de interceptação amadureceu de forma contínua, com volume subindo de US$ 20,9 milhões para US$ 75,25 milhões em casos limpos. No Ethereum, o crescimento é episódico, concentrado em poucos grandes eventos. Sete casos representam 89% do total recente, e o caso de US$ 27,12 milhões sozinho responde por 51%.

A Tether não alterou a estrutura multisig nos 24 meses. Os thresholds permanecem em 3/6 no Ethereum e 2/3 no Tron. As acelerações vêm de coordenação off-chain e transações pré-assinadas, não de mudanças no contrato.

Os destinos dos fundos extraídos mostram padrões distintos por cadeia. No Tron, os 93 casos limpos geraram 272 endereços de destino únicos, sugerindo múltiplos operadores independentes. No Ethereum, um único endereço intermediário apareceu em oito dos 14 casos limpos, com US$ 1,46 milhão total recebido.

No Tron, 86,9% dos saldos ainda estão congelados, mas isso inclui operações recentes que ainda não passaram pelo processo de queima. Controlando pela idade, a taxa de destruição no período recente é superior à do anterior, 42,3% contra 31,8%. No Ethereum, dos saldos totais no momento da submissão, US$ 52,4 milhões foram extraídos por bots, US$ 31,9 milhões foram destruídos atomicamente e US$ 5,6 milhões saíram por outros meios.

A BitOK apresenta três recomendações técnicas, fechar a janela com congelamento atômico em bloco único, eliminar a assinatura preliminar pública ou usar commit-reveal. Nenhuma foi implementada.

O custo de montar um interceptor é baixo. Basta monitorar o pending transaction no bloco público e inserir uma transferência antes da assinatura final.

A vulgarização do congelamento como ferramenta de compliance transformou uma fragilidade técnica em risco sistêmico. A janela pública entre a primeira e a última assinatura continua sendo o ponto onde a arquitetura do USDT encontra os interesses de quem monitora a blockchain em tempo real.