Hacken מזהירה: שני מפתחות יכולים להעניק שליטה על 91.3 מיליארד דולר ב-USDT ב-Tron

הערכת Hacken מצביעה על סיכון בעל השלכות כבדות בגישת־היתר לניהול USDT ברשת Tron. אין מדובר בטענה ש-USDT נפרץ: בדיווחים על ההערכה נאמר שלא נמצאה אינדיקציה לפגיעה במפתחות החתימה או לאירוע אבטחה קשור. החשש הוא ששני מפתחות, במערך חתימות מרובות מסוג 2 מתוך 3, יכולים לאפשר לתוקף להשתלט על חוזה שמנהל כ-91.3 מיליארד דולר ב-USDT על גבי Tron — בלי נעילת זמן, חלון ביטול או מסלול אמין לשחזור המצב הקודם. 1824

מה זיהתה Hacken

המערך המתואר הוא Multisig של 2 מתוך 3 לפעולות ניהול. כלומר, כל שני חותמים מורשים יכולים לאשר פעולה. המבנה מגן מפני אובדן או פגיעה במפתח יחיד, אך משמעו גם ששני מפתחות שנפרצו — או שני חותמים שפועלים בזדון או תחת כפייה — עומדים בסף הדרוש לביצוע הפעולה.

לפי הערכת Hacken, בחוזה הרלוונטי ב-Tron אישור תקף של שני חותמים עשוי לאפשר תפיסת שליטה ניהולית ללא תקופת המתנה מחייבת וללא מנגנון שבאמצעותו גורם אחר יכול לבטל את הפעולה לפני כניסתה לתוקף. החוזה מנהל לפי הדיווח כמחצית מהיצע ה-USDT במחזור באותה עת, כ-91.3 מיליארד דולר. 1822

זהו סיכון במישור הניהול של המערכת. אין פירושו שתוקף יכול לרוקן אוטומטית את הארנקים של כל מחזיקי ה-USDT; מדובר בפונקציות המורשות שמנהלות את החוזה החכם של USDT עצמו. 2236

מה עשוי מנהל עוין לעשות

הדיווחים על ממצאי Hacken מתארים הרשאות חזקות ברמת החוזה, ובהן האפשרות:

• לשנות את הבעלות או השליטה הניהולית בחוזה;
• להנפיק USDT;
• להקפיא כתובות;
• למחוק או לאפס יתרות שהוקפאו; וכן
• לשנות הגדרות של עמלות העברה. 3537

חומרת הסיכון נובעת מן השילוב בין ההרשאות הללו לבין היעדר השהיה מחייבת. נעילת זמן הייתה יוצרת פרק זמן שבו אפשר לזהות שינוי ניהולי חשוד ולנסות להגיב אליו. ללא מנגנון כזה, השתלטות מוצלחת באמצעות שני מפתחות עלולה להיכנס לתוקף לפני שלמשתמשים, לבורסות או לצוות האבטחה של המנפיק יש זמן משמעותי לפעול. 1822

מדוע שימוש חוזר במפתחות מגדיל סיכון בין רשתות

Hacken זיהתה לפי הדיווחים גם שימוש חוזר בשישה מפתחות חתימה ברשתות Ethereum, Avalanche ו-Celo. עצם השימוש החוזר אינו מוכיח שבכל הרשתות קיים אותו סף Multisig, ואינו אומר שאירוע ב-Tron יפגע אוטומטית בכל פריסה אחרת. אבל הוא יוצר סיכון מתואם: פגיעה בפרטי הגישה המשותפים עלולה להשפיע על יותר מרשת אחת, במקום להישאר מבודדת בסביבה אחת. 41

במונחי אבטחה, גם אם החוזים פרוסים על בלוקצ'יינים נפרדים, הם יכולים להישען על אותה קבוצת הרשאות בעלת ערך גבוה. כך מתרכז הסיכון התפעולי באנשים, במכשירים, בתהליכים ובהליכי השחזור שמגנים על המפתחות האלה.

האם USDT אכן נפרץ?

לא. בדיווחים שסופקו לא זוהתה פשרה מאומתת. הממצא של Hacken מתאר נתיב תקיפה אפשרי וחולשה בתכנון השליטה הניהולית; הוא אינו ראיה לגניבת מפתחות, להנפקה בלתי מורשית, להעברת בעלות זדונית או להשתלטות שהושלמה. 24

לכן, תיאור האירוע כ"פריצה של 91.3 מיליארד דולר" יהיה מטעה. הנתון מתייחס להיקף המשוער של USDT ב-Tron המנוהל בידי החוזה, ולא להפסדים מדווחים.

מדוע USDT קיבל ציון סייבר של 3.3 מתוך 10

ציון אבטחת הסייבר הנמוך של Hacken משקף את ההשפעה האפשרית ואת המיידיות של סיכון מפתחות הניהול. שני מפתחות עשויים להספיק לאישור שליטה בפריסת טוקן עצומה, בעוד שלפי הדיווח אין בתכנון השהיה מובנית, תהליך ביטול או דרך מהימנה להחזיר את המצב לאחור. 1834

זהו מדד לשאלה אחרת מביקורת רזרבות: האם היישום והבקרות התפעוליות עמידים בפני פשרה. הציון כשלעצמו אינו קביעה שהרזרבות של USDT חסרות או שהטוקן איבד את ההצמדה לדולר.

כיצד שדרוג Bluechip וממצא Hacken יכולים להתקיים במקביל

Bluechip העלתה את דירוגה התאגידי של Tether מ-D ל-C, בעוד ההערכה הטכנית של Hacken נותרה נמוכה. אין בכך בהכרח סתירה, משום שמדובר בשכבות סיכון שונות. לפי הדיווחים, המתודולוגיה המעודכנת של Bluechip כוללת שיקולים פיננסיים, ממשליים וסייבריים, ואילו ביקורת KPMG US נגעה לדוחות הכספיים של Tether International לשנת 2025. 1824

KPMG US העניקה חוות דעת בלתי מסויגת על אותם דוחות, ו-Tether מסרה כי נכון ל-31 בדצמבר 2025 הרזרבות עלו על ההתחייבויות בכ-6.814 מיליארד דולר. רויטרס דיווחה גם שהביקורת עצמה לא פורסמה לציבור. 1

בפשטות:

• ניתוח רזרבות ודוחות כספיים בוחן אם נכסי המנפיק והתחייבויותיו הוצגו כראוי בנקודת זמן מסוימת.
• ניתוח של חוזים חכמים וניהול מפתחות בוחן אם אפשר לנצל לרעה או לפרוץ את מנגנוני השליטה המורשים ברשת.

גיבוי פיננסי מדווח אינו מבטל את הסיכון שתוקף ינצל בקרות ניהול חלשות. ומנגד, חולשה בניהול מפתחות אינה מוכיחה כשלעצמה שהרזרבות אינן קיימות.

למה זה אינו דירוג טכני ישיר מול USDC

אין לקרוא לציון של Hacken השוואת אבטחה טכנית ישירה בין USDT לבין USDC של Circle. הדיווחים שעליהם מבוסס הממצא אינם מראים ש-Hacken פרסמה הערכת סייבר מקבילה ל-USDC. בלי אותה מתודולוגיה על שני המערכות, אי אפשר להסיק דירוג יחסי חד-משמעי.

בנוסף, בדיקות של מטבעות יציבים עשויות למדוד דברים שונים: איכות הרזרבות, המבנה המשפטי, תהליכי פדיון, ממשל המנפיק, הרשאות בחוזה החכם או בקרות סייבר. השוואה שימושית מחייבת להבין מה בדיוק מודד כל דירוג.

מדוע הנפקה בלתי מורשית עלולה להשפיע מעבר ל-Tron

USDT אמור להיות מגובה ברזרבות של המנפיק. אם מנהל עוין ינפיק כמות מהותית של טוקנים בלי שנכסים מקבילים ייכנסו למאגר הרזרבות, מספר תביעות הפדיון עשוי לעלות על הגיבוי הזמין. פער כזה עלול לפגוע באמון ביכולת של הטוקן לשמור על ההצמדה לדולר.

היקף החשיפה מעצים את המשמעות: ביקורת 2025 של KPMG, לפי הדיווחים, עסקה במנפיק עם התחייבויות USDT של כ-180 מיליארד דולר, בעוד החוזה ב-Tron לבדו מנהל לפי הדיווח כ-91.3 מיליארד דולר. 118

בתרחיש לחץ, טוקנים חדשים שאינם מגובים יכולים להימכר בשווקים, להפעיל לחץ על ההצמדה לדולר ולגרום לבורסות ולמשתמשים לבחון מחדש את חשיפתם ל-USDT. התוצאה בפועל תהיה תלויה בתגובה לאירוע, בהיקף ההנפקה, בנזילות השוק וביכולת המנפיק להשיב במהירות שליטה אמינה. הלקח המרכזי: במטבעות יציבים ריכוזיים, גיבוי ברזרבות וניהול מאובטח הם שני חלקים בלתי נפרדים של אמון.

השורה התחתונה

הדוח של Hacken הוא בעיקר אזהרה מפני ריכוז כוח ניהולי. Multisig של 2 מתוך 3 יכול להיות בקרת אבטחה לגיטימית, אך רמת הסיכון עולה בחדות כאשר הוא מנהל פריסה ענקית, פועל ללא נעילת זמן או חלון התאוששות, ומסתמך על מפתחות שמשמשים בכמה רשתות.

אין ראיה מדווחת לפריצה פעילה. ובכל זאת, ההערכה ממחישה מדוע בדיקת נאותות של מטבע יציב אינה יכולה להסתכם בגילויי רזרבות: משתמשים וגופים מוסדיים צריכים לבחון גם מי מחזיק בהרשאות שדרוג והנפקה, כיצד מוגנים מפתחות החתימה, האם פעולות קריטיות מושהות, ובאיזו מהירות אפשר לבלום מערכת שנפגעה. 1824