Dua Kunci Bisa Ambil Alih Kendali USDT US$91,3 Miliar di Tron, Menurut Hacken

Hacken menilai terdapat risiko besar pada akses administratif berprivilege untuk USDT di jaringan Tron. Ini bukan berarti USDT telah diretas. Laporan yang mengulas penilaian tersebut menyebut belum ada indikasi kunci penandatangan telah dikompromikan maupun adanya pelanggaran keamanan terkait. Kekhawatirannya adalah: penguasaan dua kunci dalam multisig administratif 2-dari-3 dapat memungkinkan pengambilalihan kontrak yang mengelola sekitar US$91,3 miliar USDT di Tron, tanpa timelock, jendela pembatalan, atau jalur pemulihan yang andal. 1824

Apa yang ditemukan Hacken?

Pengaturan yang dilaporkan menggunakan multisignature 2-dari-3 untuk tindakan administratif. Artinya, sebuah transaksi dapat disetujui oleh dua dari tiga penanda tangan yang berwenang. Model ini memang dapat mengurangi risiko bila satu kunci hilang atau bocor. Namun, dua kunci yang diretas—atau dua penanda tangan yang bersekongkol maupun dipaksa—sudah cukup untuk memenuhi syarat otorisasi.

Menurut penilaian Hacken, dua persetujuan yang valid pada implementasi Tron itu dapat dipakai untuk mengambil alih kontrol administratif tanpa masa tunggu wajib atau mekanisme pembatalan sebelum perubahan berlaku. Kontrak tersebut dilaporkan mengelola kira-kira separuh pasokan USDT yang beredar saat itu, yakni sekitar US$91,3 miliar. 1822

Poin pentingnya: ini adalah persoalan control plane, yakni kendali atas fungsi administratif kontrak. Ini tidak berarti penyerang otomatis dapat menguras seluruh dompet pemegang USDT. 2236

Apa yang berpotensi dilakukan pihak yang mengambil alih admin?

Laporan mengenai temuan Hacken menyebut sejumlah kewenangan tingkat kontrak yang kuat, termasuk kemampuan untuk:

• mengubah kepemilikan atau kontrol administratif kontrak;
• mencetak USDT;
• membekukan alamat;
• menghapus atau mengosongkan saldo yang telah dibekukan; serta
• mengubah pengaturan biaya transfer. 3537

Tingkat risikonya membesar karena kewenangan ini tidak disertai jeda wajib. Timelock seharusnya menyediakan waktu untuk mendeteksi perubahan administratif yang mencurigakan dan, bila memungkinkan, meresponsnya. Tanpa jeda tersebut, pengambilalihan melalui dua kunci dapat berlaku sebelum pengguna, bursa kripto, atau tim keamanan penerbit memiliki waktu yang berarti untuk bertindak. 1822

Penggunaan ulang kunci dan risiko lintas jaringan

Hacken juga dilaporkan menemukan enam kunci penandatangan yang digunakan ulang pada Ethereum, Avalanche, dan Celo. Penggunaan materi kunci yang sama tidak membuktikan ketiga jaringan itu memakai ambang multisig identik, dan insiden di Tron tidak otomatis membobol semua implementasi tersebut. Namun, praktik itu menciptakan risiko yang saling berkorelasi: kompromi atas kredensial bersama bisa berdampak pada lebih dari satu jaringan. 41

Kontraknya mungkin terpisah di setiap blockchain, tetapi perlindungannya bisa tetap bertumpu pada kredensial bernilai tinggi yang sama. Risiko operasional kemudian terkonsentrasi pada orang, perangkat, prosedur, dan mekanisme pemulihan yang menjaga kunci-kunci tersebut.

Apakah USDT benar-benar telah dikompromikan?

Belum ada kompromi yang terkonfirmasi dalam laporan yang tersedia. Temuan Hacken menggambarkan jalur serangan potensial dan desain kontrol administratif yang lemah; ini bukan bukti bahwa kunci telah dicuri, USDT dicetak tanpa izin, kepemilikan kontrak dipindahkan secara jahat, atau pengambilalihan telah terjadi. 24

Karena itu, menyebut laporan ini sebagai “peretasan US$91,3 miliar” tidak tepat. Angka US$91,3 miliar merujuk pada perkiraan nilai USDT di Tron yang dikelola kontrak tersebut, bukan nilai kerugian yang dilaporkan.

Mengapa skor keamanan siber USDT hanya 3,3/10?

Skor rendah dari Hacken mencerminkan besarnya dampak potensial dan sifat risikonya yang langsung: dua kunci dapat berpotensi mengotorisasi kendali atas implementasi token yang sangat besar, sementara desain yang dilaporkan tidak memiliki jeda, proses pembatalan, atau mekanisme pembalikan yang dapat diandalkan. 1834

Skor keamanan siber menjawab pertanyaan berbeda dari audit cadangan. Audit cadangan menilai penyajian aset dan liabilitas penerbit pada suatu waktu, sedangkan penilaian keamanan menyoroti apakah implementasi teknis serta kontrol operasionalnya tahan terhadap kompromi. Nilai 3,3/10 itu sendiri bukan pernyataan bahwa cadangan USDT tidak ada atau patokannya terhadap dolar AS telah lepas.

Mengapa upgrade Bluechip dan temuan Hacken tidak saling bertentangan?

Bluechip menaikkan peringkat korporasi Tether dari D menjadi C, sementara penilaian teknis Hacken tetap rendah. Kedua kesimpulan itu tidak harus bertentangan karena menilai lapisan risiko yang berbeda. Pemberitaan menyebut metodologi Bluechip yang diperbarui memasukkan faktor keuangan, tata kelola, dan keamanan siber, sedangkan audit KPMG US terkait laporan keuangan Tether International untuk 2025. 1824

KPMG US mengeluarkan opini tanpa modifikasian atas laporan tersebut. Tether menyatakan cadangannya melampaui liabilitas sekitar US$6,814 miliar per 31 Desember 2025. Reuters juga melaporkan bahwa audit itu sendiri tidak dipublikasikan. 1

Secara sederhana:

• Analisis cadangan dan laporan keuangan menilai apakah aset serta liabilitas penerbit disajikan secara semestinya pada suatu titik waktu.
• Analisis kontrak pintar dan pengelolaan kunci menilai apakah kontrol on-chain yang berprivilege dapat disalahgunakan atau dikompromikan.

Cadangan yang dilaporkan kuat tidak otomatis menghapus risiko penyalahgunaan kontrol administratif. Sebaliknya, kelemahan pengelolaan kunci juga tidak dengan sendirinya membuktikan cadangan tidak tersedia.

Bukan perbandingan teknis langsung dengan USDC

Skor Hacken tidak seharusnya dibaca sebagai peringkat keamanan teknis USDT versus USDC secara langsung. Pemberitaan yang menjadi dasar temuan ini tidak menunjukkan Hacken telah menerbitkan penilaian keamanan siber yang setara untuk USDC milik Circle. Tanpa metodologi yang sama pada kedua sistem, skor tersebut tidak cukup untuk menyimpulkan peringkat keamanan relatif secara definitif.

Penilaian stablecoin juga dapat mengukur hal yang berbeda-beda, misalnya kualitas cadangan, struktur hukum, proses penebusan, tata kelola penerbit, kewenangan kontrak pintar, atau kontrol keamanan siber. Perbandingan yang berguna perlu menjelaskan dimensi risiko mana yang sebenarnya dinilai.

Mengapa pencetakan tanpa otorisasi dapat berdampak luas?

USDT dimaksudkan untuk didukung cadangan penerbit. Jika pihak yang mengambil alih admin mencetak USDT dalam jumlah material tanpa aset yang masuk ke kumpulan cadangan, jumlah klaim penebusan yang beredar dapat melampaui dukungan aset yang tersedia. Ketidaksesuaian ini berpotensi menggerus kepercayaan terhadap kemampuan USDT menjaga patokannya ke dolar AS.

Skalanya memperbesar dampak potensial. Audit 2025 yang dilaporkan KPMG mencakup penerbit dengan sekitar US$180 miliar liabilitas USDT, sedangkan kontrak di Tron saja dilaporkan mengelola sekitar US$91,3 miliar. 118

Dalam skenario tekanan, token baru yang tidak didukung cadangan dapat dijual ke pasar, menekan patokan harga, dan membuat bursa maupun pengguna menilai ulang eksposur mereka terhadap USDT. Hasil akhirnya akan bergantung pada respons insiden, jumlah token yang terlibat, likuiditas pasar, serta kecepatan penerbit memulihkan kontrol yang tepercaya. Namun, pelajarannya jelas: bagi stablecoin terpusat, kecukupan cadangan dan keamanan administrasi adalah dua unsur yang sama-sama menentukan kepercayaan.

Intinya bagi pengguna

Laporan Hacken paling tepat dipahami sebagai peringatan tentang konsentrasi kekuasaan administratif. Multisig 2-dari-3 dapat menjadi kontrol keamanan yang sah, tetapi risikonya meningkat tajam bila mengendalikan aset dalam skala sangat besar, tidak memiliki timelock atau jendela pemulihan, serta menggunakan ulang kunci di beberapa jaringan.

Belum ada bukti adanya pelanggaran aktif. Meski begitu, temuan ini menunjukkan bahwa pemeriksaan terhadap stablecoin tidak cukup berhenti pada laporan cadangan. Pengguna dan institusi juga perlu memahami siapa yang memegang kewenangan untuk meningkatkan kontrak atau mencetak token, bagaimana kunci penandatangan dilindungi, apakah tindakan kritis diberi jeda, dan seberapa cepat sistem dapat dikendalikan bila terjadi kompromi. 1824