Dvě klíče mohou znamenat kontrolu nad USDT za 91,3 miliardy dolarů na Tronu

Bezpečnostní firma Hacken upozornila na závažné riziko v administraci USDT na síti Tron. Neznamená to, že byl USDT napaden. Podle dostupných zpráv neexistují indicie, že by některý podpisový klíč unikl nebo že by došlo k souvisejícímu bezpečnostnímu incidentu. Problém spočívá v tom, že dvě ze tří autorizovaných osob by mohly převzít správu kontraktu, jenž obsluhuje přibližně 91,3 miliardy dolarů v USDT na Tronu. Kontrakt přitom nemá povinnou časovou prodlevu, okno pro zrušení změny ani spolehlivý mechanismus návratu zpět. 1824

V čem je slabina

Jde o administrátorské uspořádání typu multisig 2 ze 3. K provedení citlivé operace jsou tedy potřeba dva platné podpisy ze tří. Takový model chrání proti ztrátě či kompromitaci jednoho klíče. Zároveň ale znamená, že dvě kompromitované klíče — případně dva zlomyslní nebo donucení správci — splní podmínku pro provedení akce.

Hacken uvedl, že u dotčeného nasazení na Tronu mohou dva podpisy umožnit okamžité převzetí administrátorské kontroly. Zhruba 91,3 miliardy dolarů v USDT, přibližně polovina tehdejší nabídky tokenu, bylo navázáno na tento kontrakt. 1822

Důležité upřesnění: nejde o mechanismus, který by útočníkovi automaticky otevřel individuální peněženky držitelů USDT. Riziko se týká takzvané řídicí vrstvy — privilegovaných funkcí, jimiž se spravuje samotný smart kontrakt USDT. 2236

Co by mohl nepřátelský správce udělat

Zprávy o hodnocení Hackenu popisují mimořádně silná oprávnění na úrovni kontraktu. Potenciálně by bylo možné:

• změnit vlastníka nebo administrátorskou kontrolu kontraktu;
• emitovat nové USDT;
• zmrazovat adresy;
• mazat či vynulovat zmrazené zůstatky;
• měnit nastavení poplatků za převody. 3537

Závažnost situace zvyšuje absence povinné časové pojistky (timelocku). Ta běžně vytváří lhůtu, během níž lze podezřelou změnu odhalit a případně zastavit. Pokud taková lhůta chybí, může převzetí kontroly dvěma klíči nabýt účinnosti dříve, než stihnou reagovat uživatelé, burzy nebo bezpečnostní tým emitenta. 1822

Opakované použití klíčů zvyšuje riziko napříč sítěmi

Hacken podle zpráv také zjistil, že šest podpisových klíčů bylo znovu použito na sítích Ethereum, Avalanche a Celo. To automaticky neznamená, že tyto sítě používají stejný práh multisigu ani že by incident na Tronu sám o sobě kompromitoval každé další nasazení.

Vzniká však korelované riziko: kompromitace stejných přístupových údajů by mohla zasáhnout více blockchainů namísto toho, aby zůstala izolovaná v jednom prostředí. 41

Oddělené kontrakty na různých sítích tedy nemusí znamenat oddělené provozní riziko, pokud závisí na společných klíčích, lidech, zařízeních a procesech jejich ochrany.

Byl USDT skutečně kompromitován?

Ne. Poskytnuté zprávy neuvádějí potvrzený únik klíčů, neautorizovanou emisi, škodlivou změnu vlastnictví ani úspěšné převzetí kontraktu. Hacken popsal možnou cestu útoku a slabinu v návrhu administrátorské kontroly, nikoli již uskutečněný útok. 24

Označovat situaci za „hack USDT za 91,3 miliardy dolarů“ by proto bylo nepřesné. Částka vyjadřuje přibližný objem Tron USDT spravovaný daným kontraktem, nikoli vykázanou ztrátu.

Proč získal USDT od Hackenu jen 3,3 bodu z 10

Nízké skóre kybernetické bezpečnosti odráží kombinaci možného dopadu a rychlosti, s níž by se problém mohl projevit. Dva klíče by teoreticky mohly autorizovat převzetí kontroly nad velmi rozsáhlým nasazením tokenu, aniž by systém poskytoval zabudovaný čas pro odhalení, zrušení nebo spolehlivé vrácení změny. 1834

Takové skóre ale odpovídá na jinou otázku než audit rezerv: hodnotí odolnost technické implementace a provozních kontrol vůči kompromitaci. Není samo o sobě tvrzením, že USDT nemá rezervy nebo že ztratil vazbu na americký dolar.

Proč se audit KPMG a varování Hackenu nevylučují

Ratingová firma Bluechip zvýšila firemní hodnocení Tetheru z D na C, zatímco technické hodnocení Hackenu zůstalo nízké. Nejde nutně o rozpor, protože obě hodnocení zkoumají rozdílné vrstvy rizika. Bluechip ve své upravené metodice zohlednil finance, správu i kybernetickou bezpečnost, zatímco audit KPMG US se vztahoval k finančním výkazům Tether International za rok 2025. 1824

KPMG US vydala k těmto výkazům výrok bez výhrad a Tether uvedl, že k 31. prosinci 2025 převyšovaly rezervy závazky o zhruba 6,814 miliardy dolarů. Agentura Reuters zároveň uvedla, že samotný audit nebyl zveřejněn. 1

Prakticky řečeno:

• Analýza rezerv a finančních výkazů se ptá, zda aktiva a závazky emitenta byly k určitému datu správně vykázány.
• Analýza smart kontraktů a správy klíčů se ptá, zda lze privilegované pravomoci na blockchainu zneužít nebo kompromitovat.

Silné deklarované finanční krytí neodstraňuje riziko nedostatečně zabezpečené administrace. A naopak slabina v práci s klíči sama o sobě nedokazuje, že by rezervy chyběly.

Není to přímé technické srovnání USDT a USDC

Skóre Hackenu nelze číst jako srovnání technické bezpečnosti USDT a stablecoinu USDC od společnosti Circle. Z podkladových zpráv nevyplývá, že by Hacken vypracoval pro USDC ekvivalentní kyberbezpečnostní hodnocení. Bez stejné metodiky použité na oba systémy z toho nelze vyvozovat jednoznačné pořadí bezpečnosti.

Různá hodnocení stablecoinů mohou sledovat rezervy, právní strukturu, proces odkupu, správu emitenta, oprávnění smart kontraktů nebo kybernetickou bezpečnost. Smysluplné srovnání vyžaduje vědět, kterou z těchto oblastí rating skutečně měří.

Proč by neautorizovaná emise mohla mít širší dopad

USDT má být kryt rezervami emitenta. Kdyby útočník emitoval významné množství tokenů bez odpovídajícího přílivu aktiv do rezerv, mohl by objem nároků na odkup převýšit dostupné krytí. To by mohlo oslabit důvěru ve schopnost tokenu držet kurz vůči dolaru.

Rozsah je podstatný: audit za rok 2025 se týkal emitenta s přibližně 180 miliardami dolarů závazků z USDT, zatímco samotný kontrakt na Tronu měl spravovat asi 91,3 miliardy dolarů. 118

V krizovém scénáři by se nově emitované a nekryté tokeny mohly prodávat na trhu, tlačit na odchylku od dolarové vazby a přimět burzy i držitele přehodnotit expozici vůči USDT. Konkrétní výsledek by závisel na objemu incidentu, likviditě trhu, rychlosti reakce a schopnosti emitenta obnovit důvěryhodnou kontrolu.

Co z toho plyne pro uživatele

Varování Hackenu je především upozorněním na koncentraci administrátorské moci. Multisig 2 ze 3 může být legitimním bezpečnostním opatřením. Riziko ovšem výrazně roste, když spravuje mimořádně velký objem tokenů, neobsahuje časovou prodlevu ani okno pro nápravu a opírá se o klíče používané také na jiných sítích.

Žádný aktivní průnik hlášen nebyl. Zjištění však ukazuje, proč by prověřování stablecoinů nemělo končit u rezerv: důležité je také, kdo ovládá pravomoci k emisi a změnám kontraktu, jak jsou chráněny podpisové klíče, zda jsou kritické operace odloženy a jak rychle lze systém při kompromitaci izolovat. 1824