Technische, ökonomische und forensische Gründe für die Wallet-Fragmentierung bei USDT-TRC20
TRON ist nicht deshalb „betrugsanfälliger“, weil das Netzwerk technisch unsicher wäre. Entscheidend ist, dass sich zahlreiche Adressen sehr günstig betreiben lassen, dass USDT-Transfers auf TRC20 die mit Abstand häufigste Operation im Netzwerk sind und dass Netzwerkressourcen von einem Account an beliebige andere Accounts delegiert werden können. Für Täter senkt das die Kosten des Layerings und begünstigt lange Wallet-Ketten. Für Ermittler eröffnet dieselbe Infrastruktur zusätzliche Ansatzpunkte — allerdings weniger belastbare, als häufig angenommen wird: Kommerzielle Energy-Vermietung und die seit 2025 verfügbare GasFree-Funktion haben zwei der klassischen Verknüpfungsheuristiken deutlich geschwächt. Der praktisch wirksamste Hebel liegt bei TRON ohnehin nicht in der Adressverknüpfung, sondern beim Emittenten: USDT ist einfrierbar. |
Ein Muster, das in der Kryptoforensik regelmäßig auffällt
Wer Betrugsfälle über verschiedene Blockchains hinweg untersucht, kennt den Eindruck: Bei TRON-Fällen — insbesondere bei USDT nach dem TRC20-Standard — sind häufig deutlich mehr Zwischen- und Verteilerwallets beteiligt als bei vergleichbaren Sachverhalten auf Bitcoin oder Ethereum. Aus einem zunächst einfachen Zahlungsweg entwickelt sich innerhalb weniger Transaktionen ein weit verzweigter Graph.
Vorab eine Einordnung, die in solchen Beiträgen meist fehlt: Dieser Eindruck ist eine Beobachtung aus der Fallarbeit, keine gemessene Größe. Uns ist keine belastbare Studie bekannt, die die durchschnittliche Zahl beteiligter Adressen je Fall über Netzwerke hinweg vergleicht — und ein solcher Vergleich wäre auch methodisch heikel, weil „Adresse“ auf einem UTXO-Netzwerk etwas anderes bedeutet als auf einem Kontomodell. Erklärbar ist das Muster gleichwohl, und zwar aus mehreren Faktoren, die zusammenwirken.
Neue TRON-Adressen kosten fast nichts
Eine TRON-Adresse entsteht lokal durch Erzeugung eines Schlüsselpaares. Im Netzwerk existiert sie erst nach der Aktivierung. Diese erfolgt, indem eine bereits aktive Adresse TRX oder einen TRC-10-Token an die neue Adresse sendet. Der Sender zahlt dafür eine Account-Erstellungsgebühr von 1 TRX, die verbrannt wird. Verfügt er nicht über ausreichend Bandwidth, kommen weitere 0,1 TRX hinzu.
Zum Vergleich der laufenden Kosten: Jeder aktivierte Account erhält täglich 600 Bandwidth-Punkte kostenlos. Ein USDT-Transfer belegt rund 345 Byte und damit 345 Bandwidth — das freie Kontingent deckt also etwa einen Transfer pro Tag und Adresse ab. Reicht es nicht, brennt das Netzwerk 1.000 sun (0,001 TRX) je Byte nach.
Für arbeitsteilig organisierte Betrugsstrukturen heißt das: Die Schwelle, immer neue Empfangs-, Zwischen- und Verteileradressen einzusetzen, liegt im Bereich weniger Cent pro Adresse. Hunderte Adressen lassen sich automatisiert erzeugen und bei Bedarf aktivieren. Eine einzelne Organisation kann sehr viele, jeweils nur kurz genutzte Wallets unterhalten, ohne dass daraus nennenswerte Kosten entstehen.
Bandwidth und Energy: das Ressourcenmodell
TRON bepreist Transaktionen nicht über eine einzige Gebühr, sondern über zwei Ressourcen. Bandwidth deckt die Byte-Größe einer Transaktion ab. Energy deckt die Rechenleistung ab, die die TRON Virtual Machine für einen Smart-Contract-Aufruf aufwendet. TRC20-Transfers — also auch jeder USDT-Transfer — sind Contract-Aufrufe und benötigen deshalb Energy.
Anders als Bandwidth hat Energy kein kostenloses Kontingent. Wer keine Energy besitzt, zahlt sie über einen TRX-Burn. Die Größenordnungen sind stabil und leicht nachzurechnen:
Vorgang | Energy-Bedarf | TRX-Burn (bei 100 sun/Energy) |
USDT-Transfer an eine Adresse, die bereits USDT hält | ≈ 65.000 | ≈ 6,5 TRX |
USDT-Transfer an eine Adresse ohne USDT-Bestand | ≈ 130.000 | ≈ 13 TRX |
Aktivierung einer neuen Adresse | — | 1 TRX (+ ggf. 0,1 TRX) |
Der Aufschlag beim ersten Transfer an eine „frische“ Adresse hat einen technischen Grund: Im USDT-Contract muss für sie erstmals ein Eintrag in der Guthaben-Zuordnung angelegt werden. Auch das ist forensisch nutzbar — der doppelte Energieverbrauch markiert erstmalige Empfänger.
Entscheidend für die Fragmentierung ist jedoch ein anderes Merkmal: die Delegation. Wer TRX stakt, erhält Bandwidth und Energy und kann diese Ressourcen seit dem Stake-2.0-Modell an beliebige andere Accounts delegieren, ohne das gestakte TRX zu übertragen. Die empfangende Wallet nutzt fremde Ressourcen, ohne selbst TRX halten zu müssen. Energy-Delegation ist dabei nach Angabe der TRON-Dokumentation deutlich verbreiteter als Bandwidth-Delegation, weil Bandwidth durch das Freikontingent für den Alltag meist ausreicht.
Damit kann eine zentrale Infrastruktur beliebig viele operative Wallets versorgen. Für Börsen, Zahlungsdienstleister und DApps ist das effizient. Dieselbe Eigenschaft nutzen kriminelle Strukturen: Viele Empfangswallets werden zentral mit Ressourcen versorgt und anschließend für USDT-Transfers eingesetzt.
Der Energiemarkt — und warum er eine Ermittlungsheuristik zerstört
Rund um die Delegation ist ein kommerzieller Markt entstanden. Zahlreiche Anbieter vermieten Energy minuten- oder transaktionsweise und delegieren sie automatisiert an die Wallet des Kunden. Kommerzielle Energy-Anbieter können die Kosten gegenüber einem vollständigen TRX-Burn erheblich reduzieren. Für Täter senkt das die Kosten eines zusätzlichen Layering-Schritts noch einmal.
Forensisch folgt daraus eine Warnung, die in vielen Leitfäden fehlt: Aus einer gemeinsamen Delegationsquelle darf nicht auf einen gemeinsamen Betreiber geschlossen werden. Ein Energy-Vermieter delegiert täglich an Tausende völlig unabhängiger Kunden. Zwei verdächtige Wallets, die Energy von derselben Adresse erhalten haben, können schlicht denselben Dienstleister gebucht haben. Bevor eine Delegationsbeziehung als Cluster-Indikator verwendet wird, ist deshalb zu prüfen, ob die delegierende Adresse ein kommerzieller Anbieter ist — erkennbar an sehr hoher Empfängerzahl, gleichförmigen Delegationsbeträgen und kurzen, automatisierten Laufzeiten.
GasFree: seit 2025 auch ohne TRX
Im März 2025 ist auf TRON die GasFree-Funktion gestartet, zuerst in TronLink. Sie erlaubt es, USDT-TRC20 zu versenden, ohne TRX zu halten: Die Gebühr wird in USDT vom Transferbetrag abgezogen, ein Relayer führt die Transaktion aus. Das ist bequem — und es entwertet eine der klassischen Ermittlungsspuren.
Denn die Frage „Von welcher Adresse stammt das TRX, mit dem diese Wallet ihre Gebühren zahlt?“ läuft bei einer GasFree-Wallet ins Leere: Es gibt keinen TRX-Zufluss, den man zurückverfolgen könnte. An seine Stelle tritt der Relayer-Vertrag, der für sehr viele Nutzer gleichzeitig arbeitet und deshalb keine Zurechnung erlaubt. Wer TRX-Funding als Verknüpfungsmerkmal einsetzt, sollte also zunächst prüfen, ob die betreffende Wallet überhaupt jemals TRX gehalten hat.
Warum das Modell für Layering attraktiv ist
Unter Layering versteht man im Geldwäschekontext die bewusste Einschaltung mehrerer Transaktionsstufen, um Herkunft, Kontrolle und endgültigen Verbleib von Vermögenswerten zu verschleiern. Je billiger ein zusätzlicher Schritt ist, desto weniger spricht aus Tätersicht gegen eine hohe Zahl von Zwischenwallets. Bei Kosten von wenigen Cent je Schritt entfällt die ökonomische Bremse praktisch vollständig.
Ein typischer TRON-Fall zeigt deshalb häufig eine Struktur wie diese:
Stufe | Beispiel | Forensische Funktion |
1 | Opfer → Empfangswallet A | Erster Zufluss |
2 | Wallet A → B/C/D | Aufteilung und Fragmentierung |
3 | B/C/D → Aggregator X | Zusammenführung |
4 | Aggregator X → Y/Z | Weiteres Layering |
5 | Y/Z → Börse, OTC-Desk oder Zahlungsdienst | Off-Ramp oder weitere Verschleierung |
Wichtig ist dabei: Eine große Zahl beteiligter Adressen beweist für sich genommen weder Geldwäsche noch eine gemeinsame Täterschaft. Erst das Zusammenspiel von Transaktionsfluss, zeitlichen Mustern, Funding, Resource-Delegation, Gegenparteien und weiteren Indikatoren erlaubt eine belastbare Clusterbildung.
Warum Bitcoin anders aussieht
Bitcoin verwendet kein Kontomodell, sondern das UTXO-Prinzip. Jede Transaktion verbraucht einen oder mehrere zuvor erzeugte, noch nicht ausgegebene Outputs und erzeugt neue. Ein einzelner Transfer kann daher mehrere Inputs und Outputs enthalten, und jede Zahlung mit Wechselgeld erzeugt regelmäßig eine neue Change-Adresse. Adressvielfalt entsteht bei Bitcoin also schon aus dem gewöhnlichen Wallet-Management, ohne dass irgendjemand etwas verschleiern wollte.
Die bloße Zahl der Adressen ist zwischen beiden Netzwerken deshalb nicht vergleichbar. Der wichtigere Unterschied liegt aber woanders: Bitcoin liefert mit der Common-Input-Ownership-Heuristik ein starkes Cluster-Werkzeug — werden mehrere Inputs in derselben Transaktion ausgegeben, spricht viel dafür, dass dieselbe Partei über alle zugehörigen Schlüssel verfügt. Ein Kontomodell wie TRON kennt nichts Vergleichbares. Jede Transaktion hat genau einen Absender. Wer auf TRON Wallets zusammenfassen will, ist auf schwächere Indizien angewiesen: Zeitmuster, Betragsmuster, gemeinsame Gegenparteien, Aktivierung, Funding und Delegation. Genau deshalb wirkt ein TRON-Graph unübersichtlicher — nicht nur, weil er mehr Knoten hat, sondern weil sich diese Knoten schlechter zusammenfassen lassen.
Ethereum: gleiches Kontomodell, andere Kostenlogik
Ethereum nutzt wie TRON ein Kontomodell. Technisch lassen sich auch dort beliebig viele Adressen erzeugen. Der Unterschied liegt in der Kostenstruktur: Jede Transaktion kostet Gas, das in ETH zu bezahlen ist, und Smart-Contract-Interaktionen — dazu gehören ERC-20-Transfers — verbrauchen deutlich mehr Gas als eine einfache ETH-Überweisung. Die Gebühr trägt der Absender und sie schwankt mit der Netzauslastung.
Jeder zusätzliche Layering-Schritt erzeugt auf Ethereum also unmittelbare und schlecht kalkulierbare Kosten. Das verhindert Wallet-Hopping nicht, setzt ihm aber eine spürbare ökonomische Reibung entgegen, die in einem System fehlt, in dem Ressourcen einmal zentral gestakt und anschließend beliebig oft an operative Accounts delegiert werden. Einschränkend gilt: Auf Ethereum-Layer-2-Netzwerken sind die Kosten je Transaktion inzwischen ebenfalls sehr niedrig, sodass sich das Argument dort abschwächt.
Der Perspektivwechsel: nicht nur USDT verfolgen
Bei TRON-Fällen sollte sich eine Untersuchung nicht ausschließlich auf den sichtbaren USDT-Flow konzentrieren. Mindestens ebenso aufschlussreich ist die Frage, wie die beteiligten Accounts technisch überhaupt betriebsfähig gemacht wurden. Vier Infrastrukturspuren sind dabei relevant:
- Account-Aktivierung: Welche Adresse hat die neue Wallet erstmals durch TRX oder einen TRC-10-Token aktiviert? Diese Spur ist besonders belastbar, weil sie einmalig und unumkehrbar ist.
- TRX-Funding: Von welchen Adressen stammen die TRX-Bestände, aus denen Gebühren bezahlt wurden — sofern die Wallet überhaupt jemals TRX gehalten hat (siehe GasFree).
- Resource-Delegation: Werden Energy oder Bandwidth wiederholt von denselben Accounts an mehrere verdächtige Wallets delegiert — und handelt es sich dabei um einen kommerziellen Vermieter oder um eine private Quelle?
- Berechtigungsstruktur: TRON kennt mit Owner-, Active- und Witness-Permission ein eigenes Rechtemodell. Über AccountPermissionUpdateContract kann die Kontrolle über einen Account auf eine andere Adresse übertragen werden — ohne dass Guthaben bewegt wird. Wiederkehrende Berechtigungs-Controller über mehrere Wallets hinweg sind ein starker Hinweis auf gemeinsame Kontrolle.
Gerade diese Spuren können Wallets verbinden, deren USDT-Zahlungswege auf den ersten Blick unabhängig erscheinen. Zahlen fünf Geschädigte an fünf verschiedene TRON-Wallets, werden diese Wallets aber alle aus derselben Quelle aktiviert oder von demselben Account kontrolliert, entsteht ein zusätzlicher Cluster-Hinweis.
Am Rande: das Rechtemodell ist auch selbst ein DeliktsmusterDie Permission-Struktur ist nicht nur eine Ermittlungsspur, sondern Grundlage einer eigenen Betrugsvariante. Dabei wird einem Opfer eine Seed-Phrase zu einer Wallet zugespielt, die scheinbar USDT enthält. Das Opfer sendet TRX, um die Gebühren zu decken — und stellt dann fest, dass Owner- oder Active-Permission bei einer fremden Adresse liegen und die USDT nicht bewegt werden können. Das eingezahlte TRX ist verloren. Für die Praxis heißt das: Bei jeder TRON-Wallet, die in einem Fall auftaucht, gehört ein Blick in die Permissions-Ansicht des Explorers zur Grundausstattung — sowohl zur Cluster-Bildung als auch zur Frage, ob das Opfer überhaupt jemals Verfügungsgewalt hatte. |
Asset-Flow und Infrastructure-Flow getrennt analysieren
Für eine belastbare TRON-Forensik empfiehlt sich ein zweistufiges Modell:
Analyseebene | Leitfrage | Typische Daten |
Asset-Flow | Wohin fließen die USDT? | Token-Transfers, Splits, Aggregation, Zuflüsse zu Börsen und OTC-Desks |
Infrastructure-Flow | Wer ermöglicht den Betrieb der Wallets? | Aktivierung, TRX-Funding, Energy- und Bandwidth-Delegation, Permission-Controller, gemeinsame Gegenparteien |
Die Kombination beider Ebenen ist regelmäßig aussagekräftiger als eine rein lineare Transaktionsverfolgung. Ein Täter kann den Asset-Flow durch beliebig viele Zwischenwallets verlängern; die operative Infrastruktur dahinter muss jedoch weiterhin aktiviert, finanziert und mit Ressourcen versorgt werden. Genau dort zeigen sich wiederkehrende Muster — soweit sie nicht, wie oben beschrieben, durch kommerzielle Dienste verwischt werden.
Was aus einer hohen Wallet-Anzahl nicht folgt
Nicht jede Wallet in einem TRON-Graphen gehört einem Täter. Unter den beteiligten Adressen finden sich regelmäßig Börsen-Deposit-Adressen, Hot Wallets, Zahlungsdienstleister, Energy-Vermieter, automatisierte Service-Wallets, legitime DApp-Infrastruktur und Konten von Finanzagenten, die selbst getäuscht wurden.
Eine Zuordnung sollte deshalb nie allein auf „Wallet-Nähe“ oder einer hohen Zahl von Transfers beruhen. Erforderlich ist eine Gesamtbewertung aus On-Chain-Daten, bekannten Entitätszuordnungen, Zeit- und Betragsmustern, wiederkehrenden Gegenparteien, Funding- und Berechtigungsbeziehungen sowie — soweit verfügbar — Off-Chain-Informationen. Und: Attributionen kommerzieller Analyseanbieter sind Drittangaben. Sie sind nützlich, aber sie sind kein Beweis und sollten als das gekennzeichnet werden, was sie sind.
Der praktische Hebel liegt beim Emittenten
Bei aller Analyse lohnt der nüchterne Blick auf das, was am Ende tatsächlich Vermögen sichert. USDT ist ein zentral emittierter Token: Der Emittent kann einzelne Adressen sperren, sodass die dort liegenden Token nicht mehr bewegt werden können. Genau das ist bei TRON-Fällen der wirksamste Hebel — und er wird zunehmend genutzt.
Seit September 2024 besteht mit der T3 Financial Crime Unit eine gemeinsame Einheit von Tether, TRON und dem Analyseanbieter TRM Labs, die Ersuchen von Strafverfolgungsbehörden bündelt. Nach eigenen Angaben hatte die Einheit bis Mai 2026 mehr als 450 Millionen US-Dollar an inkriminierten USDT eingefroren; Sperrungen erfolgen dabei häufig innerhalb von 24 Stunden nach einem behördlichen Ersuchen. Der weit überwiegende Teil dieser Sperrungen entfällt auf TRON-Adressen.
Für die Fallbearbeitung folgt daraus eine klare Priorisierung: Die Identifikation der aktuell mittelführenden Adresse und ein zügiges behördliches Ersuchen sind wichtiger als die vollständige Rekonstruktion jedes Zwischenschritts. Eine perfekte Grafik nützt wenig, wenn die Mittel zwischenzeitlich über einen Off-Ramp abgeflossen sind. Zu beachten ist zugleich, dass eine Sperrung keine Rückführung ist: Die Token sind eingefroren, über ihre Herausgabe entscheidet ein Verfahren.
Praktische Prüfpunkte für TRON-/USDT-TRC20-Fälle
- Aktuellen Verbleib der Mittel vor allem anderen bestimmen — und, wenn die Adresse feststeht, unverzüglich ein behördliches Ersuchen anstoßen.
- Erstaktivierung jeder relevanten Wallet dokumentieren: aktivierende Adresse, Zeitpunkt, Transaktions-Hash.
- Permissions jeder Wallet prüfen (Owner, Active, Witness) und Änderungen über AccountPermissionUpdateContract erfassen.
- Initiales und wiederkehrendes TRX-Funding erfassen — und prüfen, ob die Wallet stattdessen über GasFree operiert.
- Energy- und Bandwidth-Delegationen erheben und jede Delegationsquelle daraufhin bewerten, ob sie ein kommerzieller Vermieter ist.
- Erstmalige Empfänger am erhöhten Energieverbrauch (rund 130.000 statt 65.000) erkennen.
- Zeitliche Nähe zwischen Opferzahlung und Weiterleitung analysieren.
- Splits und spätere Re-Aggregation gesondert markieren.
- Zuflüsse zu Börsen, OTC-Desks und Zahlungsdienstleistern identifizieren und deren Kontaktweg klären.
- Wallet-Cluster nur mit mehreren voneinander unabhängigen Indikatoren begründen und die Belegtiefe je Indikator ausweisen.
- Asset-Flow und Infrastructure-Flow getrennt darstellen und erst danach zusammenführen.
Fazit
Die hohe Zahl von Wallets in vielen TRON-Betrugsfällen ist kein Zufall. Sie folgt aus günstiger Account-Aktivierung, einem Ressourcenmodell mit delegierbarer Energy, einem kommerziellen Energiemarkt und der überragenden Bedeutung von USDT-TRC20 im Netzwerk. Diese Eigenschaften können die Kosten zusätzlicher Transaktionsstufen erheblich reduzieren und machen eine starke Fragmentierung wirtschaftlich deutlich attraktiver. Hinzu kommt, dass dem Kontomodell das stärkste Cluster-Werkzeug fehlt, das Bitcoin-Ermittlungen tragen.
Für die Praxis folgen daraus drei Konsequenzen. Erstens greift eine reine Verfolgung des USDT-Flows zu kurz: Wer Aktivierung, Funding, Delegation und Berechtigungsstruktur mit auswertet, erkennt hinter einem scheinbar unübersichtlichen Geflecht wiederkehrende Infrastruktur. Zweitens sind gerade diese Infrastrukturspuren mit Vorsicht zu verwenden — kommerzielle Energy-Vermietung und GasFree erzeugen Verbindungen zwischen Wallets, die nichts miteinander zu tun haben. Und drittens, weil es sich in der Fallarbeit immer wieder bestätigt: Der schnellste Weg zur Sicherung führt bei USDT nicht über die vollständige Grafik, sondern über die aktuell mittelführende Adresse und den Emittenten.
FAQs – Häufig gestellte Fragen zu TRON-Betrugsfällen
TRON-Betrugsfälle zeigen oft viele Wallets, weil neue Adressen sehr günstig erstellt und betrieben werden können. Gerade bei USDT-TRC20 senkt dies die Kosten für zusätzliche Transaktionsstufen erheblich und begünstigt lange Wallet-Ketten.
Nein. Die hohe Zahl an Wallets bedeutet nicht, dass TRON technisch unsicherer ist. Entscheidend sind vielmehr ökonomische und strukturelle Faktoren wie günstige Account-Aktivierung, USDT-TRC20-Nutzung, Energy-Delegation und niedrige Kosten für Layering.
USDT-TRC20 ist eine der zentralen Anwendungen im TRON-Netzwerk. Da USDT-Transfers dort häufig, günstig und technisch gut automatisierbar sind, wird TRON in Betrugsfällen oft für schnelle Weiterleitungen, Aufteilungen und Zusammenführungen von Geldern genutzt.
Layering bezeichnet die Einschaltung mehrerer Transaktionsstufen, um Herkunft, Kontrolle und Ziel von Vermögenswerten zu verschleiern. Je günstiger zusätzliche Wallets und Transfers sind, desto attraktiver wird es für Täter, viele Zwischenadressen einzusetzen.
TRON nutzt Bandwidth für die Größe einer Transaktion und Energy für Smart-Contract-Aufrufe wie USDT-Transfers. Die Art, wie Wallets mit diesen Ressourcen versorgt werden, kann Hinweise auf technische Infrastruktur, Funding-Quellen oder mögliche Cluster geben.
Bei der Energy-Delegation kann ein Account Ressourcen an andere Wallets übertragen, ohne TRX an diese Wallets zu senden. Dadurch können operative Wallets USDT bewegen, ohne selbst nennenswerte TRX-Bestände zu halten. Das ist für legitime Dienste praktisch, kann aber auch in Betrugsstrukturen genutzt werden.
Weil es kommerzielle Energy-Vermieter gibt, die Ressourcen an sehr viele unabhängige Kunden delegieren. Zwei verdächtige Wallets, die Energy von derselben Quelle erhalten, müssen daher nicht demselben Täter gehören. Die Delegationsquelle muss immer gesondert bewertet werden.
GasFree erlaubt USDT-TRC20-Transfers ohne eigenen TRX-Bestand, da Gebühren in USDT über einen Relayer abgewickelt werden. Dadurch verliert die klassische Spur „Woher kam das TRX für die Gebühren?“ an Aussagekraft. Ermittler müssen deshalb prüfen, ob eine Wallet überhaupt jemals TRX gehalten hat.
Neben dem Asset-Flow sollten auch Infrastrukturspuren ausgewertet werden: Account-Aktivierung, TRX-Funding, Resource-Delegation, Permission-Strukturen, gemeinsame Gegenparteien und zeitliche Muster. Die Kombination dieser Ebenen ist oft aussagekräftiger als eine rein lineare Transaktionsverfolgung.
