Hacken avverte: due chiavi potrebbero prendere il controllo di 91,3 miliardi di USDT su Tron

L’analisi di Hacken segnala un rischio ad alto impatto nei privilegi amministrativi di USDT su Tron. Non è la notizia di un attacco già riuscito: nelle ricostruzioni disponibili non emergono chiavi di firma compromesse né violazioni di sicurezza collegate. Il punto è un possibile percorso d’attacco: il controllo di due chiavi in una multisig amministrativa 2-su-3 potrebbe consentire di assumere il controllo di un contratto che governa circa 91,3 miliardi di dollari in USDT su Tron, senza timelock, finestra di annullamento o un affidabile meccanismo di rollback. 1824

Che cosa ha rilevato Hacken

La configurazione descritta è una multisig 2-su-3 per le operazioni amministrative. In questo modello, due dei tre firmatari autorizzati bastano per approvare una transazione. Il sistema offre protezione se si perde o viene compromessa una sola chiave, ma due chiavi sottratte — oppure due firmatari malevoli o costretti — sarebbero sufficienti per raggiungere la soglia richiesta.

Per il contratto interessato su Tron, Hacken ha riferito che l’approvazione valida di due firmatari potrebbe permettere di prendere il controllo amministrativo senza un periodo di attesa obbligatorio e senza uno strumento che consenta ad altri soggetti di bloccare l’azione prima della sua esecuzione. Il contratto gestirebbe circa metà dell’offerta circolante di USDT del periodo considerato: approssimativamente 91,3 miliardi di dollari. 1822

È una questione di piano di controllo del contratto. Non significa che un aggressore possa svuotare automaticamente tutti i wallet dei possessori di USDT: riguarda invece le funzioni privilegiate usate per amministrare lo smart contract. 2236

Che cosa potrebbe fare un amministratore ostile

Le ricostruzioni dell’analisi di Hacken indicano permessi rilevanti a livello di contratto, fra cui la possibilità di:

• modificare la proprietà o il controllo amministrativo del contratto;
• emettere nuovi USDT;
• congelare indirizzi;
• azzerare o cancellare saldi congelati;
• modificare le impostazioni delle commissioni di trasferimento. 3537

La gravità deriva dalla combinazione di questi poteri con l’assenza di un ritardo obbligatorio. Un timelock, cioè un blocco temporale, creerebbe un intervallo per individuare modifiche sospette e, potenzialmente, contrastarle. Senza tale intervallo, una presa di controllo con due chiavi potrebbe diventare effettiva prima che utenti, exchange o team di sicurezza dell’emittente abbiano il tempo concreto di reagire. 1822

Il riutilizzo delle chiavi e il rischio tra più blockchain

Hacken avrebbe inoltre rilevato il riutilizzo di sei chiavi di firma su Ethereum, Avalanche e Celo. Questo non dimostra che le tre reti adottino la stessa soglia multisig né che un episodio su Tron comprometterebbe automaticamente ogni altra implementazione. Tuttavia crea un rischio correlato: la compromissione delle stesse credenziali potrebbe avere conseguenze su più chain, anziché restare confinata in un solo ambiente. 41

Il punto è operativo. Contratti separati su blockchain diverse possono comunque dipendere da credenziali di alto valore comuni, concentrando il rischio nelle persone, nei dispositivi, nelle procedure e nei sistemi di recupero che proteggono tali chiavi.

USDT è stato compromesso?

No: nelle informazioni riportate non è stata identificata una compromissione confermata. La valutazione di Hacken descrive una possibile via d’attacco e una debolezza nel disegno dei controlli amministrativi; non è prova di chiavi rubate, emissioni non autorizzate, trasferimenti malevoli della proprietà o takeover completati. 24

Per questo parlare di un «hack da 91,3 miliardi» sarebbe fuorviante. I 91,3 miliardi indicano il valore approssimativo degli USDT su Tron regolati dal contratto in questione, non perdite segnalate.

Perché il punteggio di cybersecurity è 3,3 su 10

Il punteggio basso assegnato da Hacken riflette l’impatto potenziale e l’immediatezza del rischio legato alle chiavi amministrative. Due chiavi potrebbero autorizzare il controllo di un’implementazione di token molto ampia, mentre la struttura descritta non offrirebbe un ritardo integrato, una procedura di annullamento o un meccanismo di ripristino affidabile. 1834

Un punteggio di cybersecurity risponde a una domanda diversa da quella di una revisione delle riserve: valuta se l’implementazione tecnica e i controlli operativi possano resistere a una compromissione. Non afferma, da solo, che le riserve di USDT siano assenti o che il token abbia perso l’ancoraggio al dollaro.

Perché l’upgrade di Bluechip e l’avviso di Hacken possono coesistere

Bluechip ha portato il rating societario di Tether da D a C, mentre la valutazione tecnica di Hacken è rimasta bassa. Le due conclusioni non sono necessariamente in conflitto, perché esaminano livelli di rischio differenti. Secondo le notizie disponibili, la metodologia aggiornata di Bluechip integra fattori finanziari, di governance e di cybersecurity; la revisione di KPMG US, invece, riguardava i bilanci 2025 di Tether International. 1824

KPMG US ha espresso un’opinione senza rilievi su tali bilanci e Tether ha dichiarato che, al 31 dicembre 2025, le riserve superavano le passività di circa 6,814 miliardi di dollari. Reuters ha inoltre riferito che l’audit non è stato pubblicato. 1

In sintesi:

• l’analisi delle riserve e dei bilanci valuta se attività e passività dell’emittente siano state correttamente rappresentate in un determinato momento;
• l’analisi di smart contract e gestione delle chiavi valuta se i controlli privilegiati on-chain possano essere abusati o compromessi.

Una solida copertura finanziaria dichiarata non elimina il rischio di controlli amministrativi inadeguati. Al tempo stesso, una debolezza nella gestione delle chiavi non dimostra di per sé che le riserve manchino.

Non è una classifica tecnica diretta fra USDT e USDC

Il punteggio di Hacken non va letto come un confronto tecnico alla pari tra USDT e USDC di Circle. Le informazioni alla base del caso non stabiliscono che Hacken abbia pubblicato una valutazione di cybersecurity equivalente per USDC. Senza la stessa metodologia applicata a entrambi i sistemi, il dato non consente una classifica definitiva della sicurezza relativa.

Le valutazioni delle stablecoin possono inoltre misurare aspetti diversi: qualità delle riserve, struttura legale, processi di rimborso, governance dell’emittente, privilegi degli smart contract o controlli di cybersecurity. Un confronto utile richiede di sapere con precisione quale dimensione del rischio venga valutata.

Perché un’emissione non autorizzata avrebbe effetti oltre Tron

USDT è progettato per essere coperto dalle riserve dell’emittente. Se un amministratore ostile emettesse una quantità rilevante di token senza che entrassero attività corrispondenti nel bacino delle riserve, le richieste di rimborso in circolazione potrebbero superare la copertura disponibile. Questo squilibrio potrebbe indebolire la fiducia nella capacità del token di mantenere l’ancoraggio al dollaro.

La scala amplifica il potenziale impatto: l’audit 2025 riportato per KPMG riguardava un emittente con circa 180 miliardi di dollari di passività in USDT, mentre il solo contratto Tron gestirebbe circa 91,3 miliardi di dollari. 118

In uno scenario di stress, token nuovi e non coperti potrebbero essere venduti sui mercati, mettere pressione al peg e spingere operatori e piattaforme a rivalutare l’esposizione a USDT. L’esito dipenderebbe dalla risposta all’incidente, dalla quantità emessa, dalla liquidità di mercato e dalla rapidità con cui l’emittente riuscirebbe a ristabilire un controllo affidabile. La lezione centrale è che, per le stablecoin centralizzate, copertura delle riserve e sicurezza dell’amministrazione sono entrambe componenti della fiducia nel token.

Il punto pratico

Il rapporto di Hacken va letto soprattutto come un avviso sulla concentrazione del potere amministrativo. Una multisig 2-su-3 può essere un controllo di sicurezza legittimo, ma il rischio cresce sensibilmente se governa un’implementazione molto grande, non prevede timelock o finestre di recupero e si basa su chiavi riutilizzate fra reti diverse.

Non risultano prove di una violazione in corso. L’analisi mostra però perché la due diligence sulle stablecoin non dovrebbe fermarsi alle informative sulle riserve: utenti e istituzioni devono valutare anche chi controlla i permessi di aggiornamento e di emissione, come vengono protette le chiavi di firma, se le azioni critiche prevedono ritardi e quanto rapidamente un sistema compromesso possa essere contenuto. 1824