Hacken की चेतावनी: Tron पर 91.3 अरब डॉलर के USDT का प्रशासनिक नियंत्रण दो चाबियों से संभव

ब्लॉकचेन सुरक्षा फर्म Hacken के आकलन ने Tron नेटवर्क पर USDT के प्रशासन में एक गंभीर विशेषाधिकार-आधारित पहुंच जोखिम बताया है। इसका अर्थ यह नहीं है कि USDT हैक हो चुका है। उपलब्ध रिपोर्टिंग में न तो साइनिंग कीज़ के समझौता होने का संकेत है और न ही इससे जुड़ा कोई पुष्टि-शुदा सुरक्षा उल्लंघन। चिंता यह है कि 2-of-3 प्रशासनिक मल्टीसिग में दो कीज़ पर नियंत्रण मिलने से कोई हमलावर लगभग 91.3 अरब डॉलर के Tron-आधारित USDT को संचालित करने वाले कॉन्ट्रैक्ट का नियंत्रण ले सकता है। कथित व्यवस्था में न अनिवार्य टाइमलॉक है, न रद्द करने की अवधि और न भरोसेमंद रोलबैक का रास्ता। 1824

Hacken ने क्या जोखिम बताया

रिपोर्ट के मुताबिक प्रशासनिक कार्रवाइयों के लिए 2-of-3 मल्टीसिग्नेचर व्यवस्था इस्तेमाल होती है। यानी तीन अधिकृत साइनरों में से किन्हीं दो की मंजूरी से लेनदेन स्वीकृत हो सकता है। यह एक की के खोने या उसके लीक होने से कुछ सुरक्षा देता है, लेकिन दो कीज़ के समझौता होने—या दो साइनरों के दुर्भावनापूर्ण या दबाव में आने—पर आवश्यक सीमा पूरी हो जाती है।

Hacken के आकलन के अनुसार, Tron की संबंधित डिप्लॉयमेंट में दो वैध साइनरों की मंजूरी से प्रशासनिक नियंत्रण तुरंत बदला जा सकता है। इसके लिए प्रतीक्षा अवधि अनिवार्य नहीं है और अन्य पक्षों के पास कार्रवाई लागू होने से पहले उसे रद्द करने का तंत्र नहीं बताया गया। यह कॉन्ट्रैक्ट उस समय प्रचलन में मौजूद USDT के करीब आधे हिस्से, लगभग 91.3 अरब डॉलर, को नियंत्रित करता था। 1822

यह कंट्रोल-प्लेन का जोखिम है—अर्थात USDT स्मार्ट कॉन्ट्रैक्ट के प्रशासनिक अधिकारों का। इसका यह मतलब नहीं कि हमलावर हर USDT धारक के वॉलेट से टोकन अपने-आप निकाल सकता है। 2236

दुर्भावनापूर्ण एडमिन क्या कर सकता है?

Hacken के निष्कर्षों पर आधारित रिपोर्टों में कॉन्ट्रैक्ट-स्तर के कुछ शक्तिशाली अधिकारों का उल्लेख है, जिनमें शामिल हैं:

• कॉन्ट्रैक्ट की ओनरशिप या प्रशासनिक नियंत्रण बदलना;
• USDT मिंट करना;
• एड्रेस फ्रीज़ करना;
• फ्रीज़ किए गए बैलेंस मिटाना या साफ करना; और
• ट्रांसफर-फीस सेटिंग बदलना। 3537

जोखिम की गंभीरता इन अधिकारों और अनिवार्य देरी के अभाव के मेल से बनती है। टाइमलॉक संदिग्ध प्रशासनिक बदलाव को पहचानने और संभावित रूप से रोकने के लिए समय देता है। उसके बिना, दो कीज़ के सफल समझौते के बाद बदलाव उपयोगकर्ताओं, एक्सचेंजों या जारीकर्ता की सुरक्षा टीम के प्रभावी ढंग से प्रतिक्रिया देने से पहले लागू हो सकता है। 1822

साझा कीज़ से कई ब्लॉकचेन पर जोखिम क्यों बढ़ता है

Hacken ने कथित तौर पर यह भी पाया कि Ethereum, Avalanche और Celo पर छह साइनिंग कीज़ दोबारा इस्तेमाल की गईं। इसका अर्थ यह नहीं कि इन सभी नेटवर्कों पर समान मल्टीसिग सीमा लागू है, या Tron की घटना से हर डिप्लॉयमेंट अपने-आप प्रभावित हो जाएगा। लेकिन इससे सहसंबद्ध जोखिम बनता है: यदि साझा क्रेडेंशियल्स से समझौता हो, तो नुकसान एक ही चेन तक सीमित रहने के बजाय कई नेटवर्कों तक फैल सकता है। 41

अलग-अलग चेन पर कॉन्ट्रैक्ट अलग हो सकते हैं, फिर भी उनकी सुरक्षा एक ही उच्च-मूल्य वाली कीज़, उन्हें संभालने वाले लोगों, डिवाइसों, प्रक्रियाओं और रिकवरी व्यवस्था पर निर्भर हो सकती है। यही परिचालन जोखिम को केंद्रित करता है।

क्या USDT वास्तव में समझौता हो चुका था?

नहीं। उपलब्ध रिपोर्टिंग में किसी पुष्टि-शुदा समझौते की पहचान नहीं की गई। Hacken का निष्कर्ष एक संभावित हमले के रास्ते और कमजोर प्रशासनिक नियंत्रण की ओर इशारा करता है; यह चोरी हुई कीज़, अनधिकृत मिंटिंग, दुर्भावनापूर्ण ओनरशिप ट्रांसफर या सफल अधिग्रहण का सबूत नहीं है। 24

इस अंतर को समझना जरूरी है। इसे “91.3 अरब डॉलर का USDT हैक” कहना गलत होगा। 91.3 अरब डॉलर का आंकड़ा उस Tron USDT की अनुमानित राशि है जिसे संबंधित कॉन्ट्रैक्ट नियंत्रित करता है, न कि रिपोर्ट की गई हानि।

Hacken ने USDT को 3.3/10 साइबर-सुरक्षा स्कोर क्यों दिया

Hacken का कम साइबर-सुरक्षा स्कोर इस प्रशासनिक-की जोखिम के संभावित प्रभाव और उसकी तात्कालिकता को दर्शाता है। दो कीज़ से बहुत बड़े टोकन डिप्लॉयमेंट का नियंत्रण संभव हो सकता है, जबकि रिपोर्ट की गई व्यवस्था में न अंतर्निहित देरी, न रद्दीकरण की प्रक्रिया और न भरोसेमंद रिवर्सल तंत्र था। 1834

यह स्कोर रिजर्व ऑडिट से अलग सवाल का जवाब देता है: क्या तकनीकी कार्यान्वयन और संचालन नियंत्रण किसी समझौते को झेल सकते हैं? यह अपने-आप में न तो यह कहता है कि USDT के रिजर्व नहीं हैं, न यह कि टोकन का डॉलर से पेग टूट चुका है।

Bluechip की रेटिंग बढ़ना और Hacken की चेतावनी—दोनों एक साथ कैसे सही हो सकते हैं

Bluechip ने Tether की कॉर्पोरेट रेटिंग D से बढ़ाकर C की, जबकि Hacken का तकनीकी आकलन कम रहा। इसमें जरूरी तौर पर विरोधाभास नहीं है, क्योंकि दोनों अलग परतों के जोखिम देखते हैं। रिपोर्टिंग के अनुसार Bluechip की संशोधित पद्धति में वित्तीय, गवर्नेंस और साइबर-सुरक्षा कारक शामिल हैं, जबकि KPMG US की ऑडिट Tether International के 2025 के वित्तीय विवरणों से संबंधित थी। 1824

KPMG US ने इन विवरणों पर अनक्वालिफाइड ओपिनियन जारी की—ऑडिट शब्दावली में इसका मतलब है कि ऑडिटर को वित्तीय विवरणों पर कोई ऐसी महत्वपूर्ण आपत्ति नहीं मिली जिससे राय सीमित करनी पड़े। Tether के अनुसार, 31 दिसंबर 2025 तक उसके रिजर्व देनदारियों से लगभग 6.814 अरब डॉलर अधिक थे। Reuters ने यह भी बताया कि पूरी ऑडिट सार्वजनिक नहीं की गई थी। 1

सरल शब्दों में:

• रिजर्व और वित्तीय-विवरण विश्लेषण यह देखता है कि किसी समय पर जारीकर्ता की संपत्तियां और देनदारियां सही तरह प्रस्तुत हुईं या नहीं।
• स्मार्ट-कॉन्ट्रैक्ट और की-मैनेजमेंट विश्लेषण यह देखता है कि ऑन-चेन विशेषाधिकारों का दुरुपयोग या समझौता हो सकता है या नहीं।

मजबूत वित्तीय समर्थन की रिपोर्टिंग प्रशासनिक नियंत्रणों में संभावित कमजोरी को खत्म नहीं करती। उसी तरह, की-मैनेजमेंट की कमजोरी से अपने-आप यह सिद्ध नहीं होता कि रिजर्व मौजूद नहीं हैं।

इसे USDT बनाम USDC की सीधी तकनीकी रैंकिंग क्यों न मानें

Hacken के स्कोर को Tether के USDT और Circle के USDC के बीच समान आधार पर की गई तकनीकी तुलना नहीं माना जाना चाहिए। इस निष्कर्ष के पीछे की रिपोर्टिंग से यह स्थापित नहीं होता कि Hacken ने USDC का भी इसी पद्धति से साइबर-सुरक्षा आकलन किया था। समान पद्धति के बिना दोनों के बीच अंतिम सापेक्ष-सुरक्षा रैंकिंग निकालना उचित नहीं है।

अलग-अलग स्टेबलकॉइन रेटिंग्स रिजर्व की गुणवत्ता, कानूनी ढांचा, रिडेम्प्शन प्रक्रिया, जारीकर्ता का गवर्नेंस, स्मार्ट-कॉन्ट्रैक्ट विशेषाधिकार या साइबर-सुरक्षा नियंत्रण जैसे अलग पहलुओं को माप सकती हैं। उपयोगी तुलना के लिए यह जानना जरूरी है कि कोई रेटिंग वास्तव में किस जोखिम को माप रही है।

अनधिकृत मिंटिंग का असर Tron से आगे क्यों हो सकता है

USDT का उद्देश्य जारीकर्ता के रिजर्व से समर्थित रहना है। यदि कोई दुर्भावनापूर्ण एडमिन रिजर्व पूल में बराबर की संपत्ति आए बिना बड़ी मात्रा में टोकन मिंट कर दे, तो कुल रिडेम्प्शन दावे उपलब्ध बैकिंग से अधिक हो सकते हैं। इससे USDT के डॉलर-पेग को बनाए रखने की क्षमता पर भरोसा कमजोर पड़ सकता है।

पैमाना इस जोखिम को बढ़ाता है। KPMG की रिपोर्टेड 2025 ऑडिट ऐसे जारीकर्ता से संबंधित थी जिसकी USDT देनदारियां लगभग 180 अरब डॉलर थीं, जबकि केवल Tron का संबंधित कॉन्ट्रैक्ट लगभग 91.3 अरब डॉलर के USDT को नियंत्रित करता बताया गया। 118

तनावपूर्ण स्थिति में नए, बिना समर्थन वाले टोकन बाजार में बेचे जा सकते हैं, पेग पर दबाव बन सकता है और एक्सचेंज व उपयोगकर्ता USDT के प्रति अपने जोखिम का पुनर्मूल्यांकन कर सकते हैं। वास्तविक नतीजा घटना पर प्रतिक्रिया, शामिल राशि, बाजार की तरलता और जारीकर्ता कितनी तेजी से विश्वसनीय नियंत्रण बहाल करता है, जैसे कारकों पर निर्भर करेगा। मुख्य बात यह है कि केंद्रीकृत स्टेबलकॉइन के लिए रिजर्व बैकिंग और सुरक्षित प्रशासन—दोनों ही भरोसे के जरूरी हिस्से हैं।

उपयोगकर्ताओं और संस्थानों के लिए मुख्य बात

Hacken की रिपोर्ट को केंद्रित प्रशासनिक शक्ति के बारे में चेतावनी के रूप में समझना चाहिए। 2-of-3 मल्टीसिग अपने-आप में गलत सुरक्षा व्यवस्था नहीं है। लेकिन जब वह बहुत बड़े टोकन डिप्लॉयमेंट को नियंत्रित करे, उसमें टाइमलॉक या रिकवरी विंडो न हो, और कीज़ कई नेटवर्कों पर साझा हों, तो उसका जोखिम तेजी से बढ़ जाता है।

किसी सक्रिय उल्लंघन का प्रमाण रिपोर्ट नहीं किया गया है। फिर भी यह आकलन बताता है कि स्टेबलकॉइन की जांच केवल रिजर्व खुलासों तक सीमित नहीं रहनी चाहिए। उपयोगकर्ताओं और संस्थानों को यह भी देखना चाहिए कि अपग्रेड और मिंटिंग की अनुमति किसके पास है, साइनिंग कीज़ कैसे सुरक्षित हैं, संवेदनशील कार्रवाइयों में देरी है या नहीं, और समझौते की स्थिति में सिस्टम को कितनी तेजी से नियंत्रित किया जा सकता है। 1824