To nøgler kan potentielt give kontrol over USDT for 91,3 mia. dollar på Tron

Hacken har identificeret en risiko med potentielt meget store konsekvenser i administrationen af USDT på Tron. Det betyder ikke, at USDT er blevet hacket. Der er ifølge den tilgængelige rapportering ingen tegn på kompromitterede signeringsnøgler eller et relateret sikkerhedsbrud. Bekymringen er derimod, at kontrol over to nøgler i en administrativ 2-af-3-multisig kan være nok til at overtage en kontrakt, der administrerer cirka 91,3 mia. dollar i USDT på Tron. Kontrakten har efter det rapporterede hverken indbygget timelock, annulleringsvindue eller en pålidelig mulighed for at rulle en ændring tilbage. 1824

Hvad er den konkrete svaghed?

En 2-af-3-multisig betyder, at to af tre godkendte signatarer kan autorisere en administrativ handling. Det beskytter mod tab eller kompromittering af én nøgle, men to stjålne nøgler – eller to personer, der handler ondsindet eller under tvang – opfylder samtidig tærsklen for at handle.

Ifølge Hackens vurdering kan to gyldige signaturer bruges til at overtage den administrative kontrol over den berørte Tron-kontrakt uden obligatorisk ventetid og uden en mekanisme, der lader andre parter stoppe ændringen, før den træder i kraft. Kontrakten administrerede omkring halvdelen af den cirkulerende USDT-mængde på tidspunktet: cirka 91,3 mia. dollar. 1822

Det er afgørende at skelne mellem kontraktstyring og brugermidler. Risikoen giver ikke automatisk en angriber adgang til at tømme alle brugeres wallets. Den angår de særlige administratorfunktioner i USDT-smartkontrakten. 2236

Hvad kunne en ondsindet administrator gøre?

Rapporteringen om Hackens fund beskriver omfattende rettigheder på kontraktniveau. En person med overtaget administrativ kontrol kan potentielt:

• ændre kontraktens ejerskab eller administrative kontrol;
• udstede nye USDT;
• fryse adresser;
• rydde eller nulstille frosne saldi; og
• ændre indstillinger for overførselsgebyrer. 3537

Alvoren ligger i kombinationen af disse rettigheder og fraværet af en tvungen forsinkelse. Et timelock ville give brugere, børser og udstederens sikkerhedsteam tid til at opdage og eventuelt reagere på mistænkelige ændringer. Uden en sådan forsinkelse kan en overtagelse med to nøgler få virkning, før andre parter har en reel chance for at gribe ind. 1822

Genbrug af nøgler kan sprede risikoen på tværs af kæder

Hacken fandt også efter det rapporterede, at seks signeringsnøgler blev genbrugt på Ethereum, Avalanche og Celo. Det beviser ikke, at alle disse netværk anvender samme multisig-tærskel, eller at en hændelse på Tron automatisk kompromitterer de øvrige installationer. Men genbrug af nøglemateriale skaber en korreleret risiko: Hvis fælles legitimationsoplysninger kompromitteres, kan konsekvensen række ud over én enkelt kæde. 41

Separate smartkontrakter på forskellige blockchains kan altså stadig afhænge af de samme mennesker, enheder, sikkerhedsprocedurer og gendannelsesprocesser. Det koncentrerer den operationelle risiko.

Er USDT faktisk blevet kompromitteret?

Nej, ikke ifølge den foreliggende rapportering. Hackens fund beskriver en mulig angrebsvej og en svaghed i den administrative kontrolmodel. Det er ikke dokumentation for stjålne nøgler, uautoriseret udstedelse af tokens, et ondsindet ejerskifte eller en gennemført overtagelse. 24

Derfor ville det være misvisende at kalde sagen et “hack på 91,3 mia. dollar”. Beløbet angiver den omtrentlige mængde Tron-baseret USDT, som kontrakten administrerer – ikke rapporterede tab.

Hvorfor er cybersikkerhedsscoren kun 3,3 ud af 10?

Hackens lave cybersikkerhedsscore på 3,3 ud af 10 afspejler den potentielle skade og hastigheden i risikoen: To nøgler kan efter vurderingen være nok til at kontrollere en meget stor token-udstedelse, og designet mangler både forsinkelse, annulleringsproces og en pålidelig reverseringsmekanisme. 1834

En cybersikkerhedsvurdering besvarer dog noget andet end en reservegennemgang. Den siger noget om, hvorvidt de tekniske og operationelle kontroller kan modstå kompromittering – ikke i sig selv, om Tether mangler reserver, eller om USDT har mistet sin dollarbinding.

KPMG-revision og lav sikkerhedsscore kan godt eksistere samtidig

Bluechip hævede Tethers virksomhedsbedømmelse fra D til C, mens Hackens tekniske vurdering fortsat var lav. De to konklusioner behøver ikke modsige hinanden, fordi de ser på forskellige risikolag. Bluechips reviderede metode omfattede ifølge rapporteringen finansielle forhold, governance og cybersikkerhed, mens KPMG US' revision vedrørte Tether Internationals regnskab for 2025. 1824

KPMG US afgav en revisionspåtegning uden forbehold på regnskabet, og Tether oplyste, at reserverne oversteg forpligtelserne med cirka 6,814 mia. dollar pr. 31. december 2025. Reuters oplyste samtidig, at selve revisionen ikke blev offentliggjort. 1

Kort sagt:

• Reserve- og regnskabsanalyse handler om, hvorvidt udstederens aktiver og forpligtelser er korrekt præsenteret på et givent tidspunkt.
• Analyse af smartkontrakter og nøglehåndtering handler om, hvorvidt privilegerede kontrolfunktioner på kæden kan misbruges eller kompromitteres.

En rapporteret stærk finansiel polstring fjerner ikke risikoen for misbrug af utilstrækkeligt sikrede administratorrettigheder. Omvendt dokumenterer en svaghed i nøglehåndteringen ikke i sig selv, at reserverne mangler.

Ikke en direkte teknisk sammenligning med USDC

Hackens score kan ikke læses som en direkte, teknisk rangordning mellem USDT og Circles USDC. Den bagvedliggende rapportering fastslår ikke, at Hacken har offentliggjort en tilsvarende cybersikkerhedsvurdering af USDC. Uden samme metode anvendt på begge systemer kan scoren ikke bruges til at drage en endelig konklusion om, hvilken stablecoin der er teknisk mest sikker.

Vurderinger af stablecoins kan også måle helt forskellige forhold: kvaliteten af reserverne, juridisk struktur, indløsningsprocesser, udstederens governance, kontraktrettigheder eller cybersikkerhedskontroller. En brugbar sammenligning kræver, at man ved, hvad den konkrete vurdering faktisk dækker.

Hvorfor uautoriseret udstedelse kan få større betydning

USDT er tiltænkt at være dækket af udstederens reserver. Hvis en ondsindet administrator udstedte en væsentlig mængde nye tokens uden tilsvarende aktiver i reservepuljen, kunne de samlede indløsningskrav overstige den tilgængelige dækning. Det kan svække tilliden til tokenets evne til at holde kursen tæt på én dollar.

Skalaen forstærker den potentielle effekt. KPMG's rapporterede revision for 2025 dækkede en udsteder med omtrent 180 mia. dollar i USDT-forpligtelser, mens Tron-kontrakten alene blev oplyst til at administrere cirka 91,3 mia. dollar. 118

I et stressforløb kunne nyudstedte, udækkede tokens blive solgt i markedet, lægge pres på dollarkursen og få handelsplatforme og brugere til at revurdere deres USDT-eksponering. Det konkrete udfald ville afhænge af blandt andet hændelseshåndtering, beløbets størrelse, markedslikviditet og hvor hurtigt udstederen kunne genetablere troværdig kontrol.

Det vigtigste at tage med

Hackens fund er først og fremmest en advarsel om koncentreret administrativ magt. En 2-af-3-multisig kan være en legitim sikkerhedskontrol, men risikoen stiger markant, når den styrer en meget stor udstedelse, mangler timelock og gendannelsesvindue og bygger på nøgler, der genbruges på tværs af netværk.

Der er ikke rapporteret beviser på et aktivt brud. Alligevel viser vurderingen, hvorfor due diligence på stablecoins bør række videre end reserveoplysninger: Brugere og institutioner må også se på, hvem der kontrollerer rettigheder til opgraderinger og udstedelse, hvordan signeringsnøgler beskyttes, om kritiske handlinger forsinkes, og hvor hurtigt et kompromitteret system kan inddæmmes. 1824