USDT sur Tron : le risque des deux clés qui contrôlent 91,3 milliards de dollars

L’évaluation de Hacken met en avant un risque majeur lié aux accès privilégiés qui administrent l’USDT sur Tron. Il ne s’agit pas d’un piratage confirmé : les informations disponibles n’indiquent ni compromission des clés de signature ni violation de sécurité associée. Le problème potentiel est ailleurs : deux clés sur trois pourraient suffire à prendre le contrôle d’un contrat administrant environ 91,3 milliards de dollars d’USDT sur Tron, sans délai intégré, fenêtre d’annulation ni procédure fiable de retour en arrière. 1824

Ce que la configuration 2-sur-3 implique

Le dispositif décrit est une multisignature administrative 2-sur-3 : toute opération sensible requiert l’accord de deux des trois signataires autorisés. Cette architecture peut protéger contre la perte d’une clé unique. En revanche, deux clés compromises — ou deux signataires malveillants ou contraints — atteignent directement le seuil requis.

D’après l’évaluation rapportée par Hacken, deux signatures valides permettraient de saisir le contrôle administratif du contrat concerné sur Tron, sans période d’attente obligatoire ni mécanisme permettant de bloquer l’opération avant son exécution. Le contrat administrerait environ la moitié des USDT alors en circulation, soit quelque 91,3 milliards de dollars. 1822

Il s’agit d’un risque au niveau du plan de contrôle du contrat. Cela ne signifie pas qu’un attaquant pourrait vider automatiquement les portefeuilles de tous les détenteurs d’USDT. Les fonctions visées sont celles qui permettent d’administrer le smart contract de l’émetteur. 2236

Les pouvoirs qu’un administrateur hostile pourrait exercer

Les informations relayant les conclusions de Hacken décrivent des privilèges très étendus. Une personne ayant obtenu le contrôle administratif pourrait notamment :

• modifier le propriétaire ou le contrôle administratif du contrat ;
• émettre de nouveaux USDT ;
• geler des adresses ;
• effacer des soldes préalablement gelés ;
• modifier les paramètres de frais de transfert. 3537

La gravité du scénario tient à l’absence de délai obligatoire. Un timelock, ou verrou temporel, impose une période entre la validation d’une action critique et son exécution. Ce délai peut permettre de détecter une opération suspecte et, selon l’architecture, de l’empêcher. Sans cette protection, une prise de contrôle avec deux clés pourrait devenir effective avant que les utilisateurs, les plateformes d’échange ou l’équipe de sécurité de l’émetteur aient le temps de réagir. 1822

La réutilisation de clés étend le risque à plusieurs blockchains

Hacken aurait aussi identifié la réutilisation de six clés de signature sur Ethereum, Avalanche et Celo. Cela ne prouve pas que ces réseaux utilisent le même seuil multisignature ni qu’un incident sur Tron compromettrait automatiquement chaque déploiement.

Mais cette pratique crée un risque corrélé : la compromission de matériels ou d’identifiants communs pourrait toucher plusieurs réseaux, au lieu de rester limitée à une seule blockchain. 41 Des contrats distincts peuvent donc dépendre d’un même ensemble de procédures, de dispositifs, de personnes et de mécanismes de récupération protégeant des clés à très forte valeur.

USDT a-t-il été compromis ?

Non, aucun incident avéré n’a été identifié dans les éléments fournis. L’analyse de Hacken décrit une voie d’attaque potentielle et une faiblesse de conception dans le contrôle administratif ; elle ne constitue pas la preuve d’un vol de clés, d’une émission non autorisée, d’un transfert frauduleux de propriété ou d’une prise de contrôle réalisée. 24

Présenter cette alerte comme un « hack de 91,3 milliards de dollars » serait donc inexact. Ce montant correspond à la valeur approximative des USDT sur Tron administrés par le contrat concerné, et non à des pertes constatées.

Pourquoi Hacken attribue 3,3/10 à l’USDT en cybersécurité

La note de cybersécurité de 3,3 sur 10 reflète l’ampleur des conséquences possibles et l’immédiateté du risque : deux clés pourraient potentiellement autoriser le contrôle d’un déploiement d’USDT de très grande taille, sans délai de détection, d’annulation ou de réversibilité intégré au mécanisme décrit. 1834

Cette note ne répond pas à la même question qu’un audit des réserves. Elle évalue la solidité technique et opérationnelle des contrôles face à une compromission ; elle ne signifie pas, à elle seule, que les réserves de Tether seraient insuffisantes ou que l’USDT aurait perdu son ancrage au dollar.

Pourquoi l’amélioration de Bluechip et l’alerte de Hacken ne se contredisent pas

Bluechip a relevé la note d’entreprise de Tether de D à C, alors que l’évaluation technique de Hacken est restée faible. Les deux conclusions peuvent coexister, car elles portent sur des couches de risque différentes. La méthodologie révisée de Bluechip intégrerait des facteurs financiers, de gouvernance et de cybersécurité, tandis que l’audit de KPMG US concernait les états financiers 2025 de Tether International. 1824

KPMG US a émis une opinion sans réserve sur ces comptes et Tether a déclaré que ses réserves excédaient ses passifs d’environ 6,814 milliards de dollars au 31 décembre 2025. Reuters a toutefois indiqué que l’audit lui-même n’avait pas été rendu public. 1

En pratique :

• l’analyse des réserves et des états financiers examine la présentation des actifs et des passifs de l’émetteur à une date donnée ;
• l’analyse des smart contracts et de la gestion des clés examine si des pouvoirs on-chain privilégiés peuvent être détournés ou compromis.

Un excédent de réserves déclaré ne supprime donc pas le risque d’une faiblesse dans l’administration du contrat. Inversement, une faiblesse dans la gestion des clés ne prouve pas l’absence de réserves.

Ce n’est pas un classement technique direct face à l’USDC

La note de Hacken ne doit pas être lue comme une comparaison technique directe entre l’USDT et l’USDC de Circle. Les éléments fournis ne montrent pas que Hacken aurait appliqué à l’USDC une évaluation de cybersécurité équivalente. Sans méthodologie identique appliquée aux deux systèmes, il n’est pas possible d’en tirer un classement définitif de sécurité relative.

Les évaluations de stablecoins peuvent d’ailleurs mesurer des dimensions très différentes : qualité des réserves, cadre juridique, modalités de remboursement, gouvernance de l’émetteur, privilèges des contrats intelligents ou contrôles de cybersécurité.

Pourquoi une émission non autorisée serait un risque majeur

L’USDT est censé être adossé aux réserves de son émetteur. Si un administrateur hostile émettait un volume important de jetons sans que des actifs correspondants rejoignent les réserves, les créances de remboursement en circulation pourraient dépasser les actifs disponibles. Cette situation risquerait d’éroder la confiance dans la capacité de l’USDT à maintenir sa parité avec le dollar.

L’enjeu est accentué par l’échelle : l’audit 2025 mentionné par KPMG portait sur environ 180 milliards de dollars de passifs liés à l’USDT, tandis que le contrat sur Tron administrerait à lui seul quelque 91,3 milliards de dollars. 118

Dans un scénario de crise, des jetons nouvellement émis et non adossés pourraient être vendus sur les marchés, exercer une pression sur la parité et conduire plateformes et détenteurs à réévaluer leur exposition. L’issue dépendrait notamment de la vitesse de la réponse à l’incident, du montant émis, de la liquidité du marché et de la capacité de l’émetteur à rétablir rapidement un contrôle crédible.

À retenir

L’alerte de Hacken porte avant tout sur la concentration du pouvoir administratif. Une multisignature 2-sur-3 peut constituer un contrôle de sécurité légitime, mais son risque augmente fortement lorsqu’elle gouverne un volume considérable, ne prévoit ni délai ni fenêtre de récupération, et s’appuie sur des clés réutilisées entre plusieurs réseaux.

Aucun piratage actif n’a été rapporté. Cette analyse rappelle néanmoins que l’examen d’un stablecoin ne peut pas se limiter aux réserves : il doit aussi porter sur les personnes et systèmes qui contrôlent les permissions d’émission et de mise à jour, la protection des clés de signature, les délais appliqués aux opérations critiques et la capacité à contenir une compromission. 1824