Dua kunci boleh merampas kawalan pentadbiran USDT US$91.3 bilion di Tron, kata Hacken

Apa yang dikenal pasti oleh Hacken

Penilaian Hacken menonjolkan risiko akses berkeistimewaan dalam pentadbiran USDT di rangkaian Tron. Ini bukan laporan bahawa USDT telah digodam. Tiada petunjuk bahawa kunci tandatangan telah dikompromi atau bahawa pelanggaran keselamatan berkaitan telah berlaku. Kebimbangannya ialah dua kunci dalam susunan multisig pentadbiran 2-daripada-3 berpotensi cukup untuk mengambil alih kontrak yang mentadbir kira-kira US$91.3 bilion USDT di Tron. Kontrak itu dilaporkan tidak mempunyai timelock, tempoh pembatalan atau laluan pembalikan yang boleh diharap. 1824

Dalam konfigurasi multisig 2-daripada-3, mana-mana dua penandatangan yang dibenarkan boleh meluluskan tindakan. Reka bentuk ini boleh mengurangkan kesan jika satu kunci hilang atau dibocorkan. Namun, dua kunci yang dikompromi—atau dua penandatangan yang berniat jahat, dipaksa atau berpakat—sudah memenuhi syarat kelulusan.

Menurut penilaian yang dilaporkan, kelulusan dua penandatangan yang sah boleh digunakan untuk merampas kawalan pentadbiran tanpa tempoh menunggu wajib dan tanpa cara untuk pihak lain membatalkan tindakan itu sebelum ia berkuat kuasa. Kontrak berkenaan dikatakan mentadbir sekitar separuh bekalan USDT dalam edaran ketika itu, iaitu kira-kira US$91.3 bilion. 1822

Ini ialah isu pada lapisan kawalan pentadbiran, bukan dakwaan bahawa penyerang boleh terus mengosongkan semua dompet pemegang USDT. Risiko tersebut berkaitan fungsi berkeistimewaan yang mengurus kontrak pintar USDT. 2236

Apa yang boleh dilakukan oleh pentadbir berniat jahat

Laporan mengenai dapatan Hacken menyatakan bahawa kawalan pada peringkat kontrak boleh membolehkan pihak yang mengambil alih untuk:

• menukar pemilikan atau kawalan pentadbiran kontrak;
• menerbitkan USDT baharu;
• membekukan alamat;
• mengosongkan baki yang telah dibekukan; dan
• mengubah tetapan fi pindahan. 3537

Risikonya menjadi lebih serius kerana kuasa besar ini tidak disertakan penangguhan wajib. Timelock ialah tempoh menunggu sebelum perubahan penting dilaksanakan; ia memberi masa kepada pihak seperti penerbit, bursa dan pasukan keselamatan untuk mengesan serta bertindak terhadap perubahan yang mencurigakan. Tanpa mekanisme itu, pengambilalihan menggunakan dua kunci boleh berkuat kuasa sebelum respons bermakna dapat dibuat. 1822

Penggunaan semula kunci menambah risiko rentas rantaian

Hacken juga dilaporkan mendapati enam kunci tandatangan digunakan semula merentasi Ethereum, Avalanche dan Celo. Ini tidak membuktikan setiap rangkaian menggunakan ambang multisig yang sama, dan insiden di Tron tidak semestinya secara automatik menjejaskan semua penggunaan tersebut.

Namun, amalan itu mewujudkan risiko berkorelasi: jika kelayakan yang dikongsi dikompromi, kesannya mungkin melibatkan lebih daripada satu rantaian dan bukannya terhad kepada satu persekitaran. 41

Kontrak boleh berada pada rantaian berasingan, tetapi keselamatan operasinya masih boleh bergantung pada sekumpulan kecil kelayakan bernilai tinggi—serta orang, peranti, prosedur dan kaedah pemulihan yang melindunginya.

Adakah USDT benar-benar telah dikompromi?

Tidak. Tiada kompromi yang disahkan dalam laporan yang dirujuk. Dapatan Hacken menerangkan potensi laluan serangan dan kelemahan reka bentuk kawalan pentadbiran; ia bukan bukti bahawa kunci telah dicuri, USDT diterbitkan tanpa kebenaran, pemilikan kontrak dipindahkan secara jahat atau pengambilalihan telah berlaku. 24

Justeru, menyifatkannya sebagai “penggodaman US$91.3 bilion” adalah tidak tepat. Angka US$91.3 bilion merujuk kepada anggaran USDT di Tron yang ditadbir oleh kontrak tersebut, bukannya kerugian yang telah dilaporkan.

Mengapa markah keselamatan siber cuma 3.3/10?

Markah keselamatan siber Hacken yang rendah mencerminkan skala impak serta kesegeraan risiko kunci pentadbiran. Dua kunci berpotensi membenarkan kawalan ke atas pelaksanaan token yang sangat besar, sedangkan reka bentuk yang dilaporkan tidak menyediakan kelewatan terbina dalam, proses pembatalan atau mekanisme pembalikan yang boleh diharap. 1834

Markah ini menilai sama ada pelaksanaan teknikal dan kawalan operasi mampu menahan kompromi. Ia bukan penilaian bahawa rizab USDT tidak wujud atau token itu telah hilang tambatan kepada dolar AS.

Audit KPMG dan naik taraf Bluechip tidak semestinya bercanggah

Bluechip menaik taraf penarafan korporat Tether daripada D kepada C, ketika penilaian teknikal Hacken terhadap keselamatan siber USDT masih rendah. Kedua-dua kesimpulan itu boleh wujud serentak kerana masing-masing menilai lapisan risiko yang berbeza.

Menurut laporan, metodologi Bluechip yang disemak memasukkan faktor kewangan, tadbir urus dan keselamatan siber. Audit KPMG US pula berkaitan penyata kewangan Tether International bagi tahun 2025. 1824

KPMG US mengeluarkan pendapat tanpa teguran (unqualified opinion) terhadap penyata tersebut. Tether berkata rizabnya melebihi liabiliti sebanyak kira-kira US$6.814 bilion pada 31 Disember 2025. Reuters turut melaporkan bahawa audit itu sendiri tidak diterbitkan kepada umum. 1

Secara ringkas:

• Analisis rizab dan penyata kewangan menilai sama ada aset serta liabiliti penerbit dibentangkan dengan sewajarnya pada suatu titik masa.
• Analisis kontrak pintar dan pengurusan kunci menilai sama ada kawalan on-chain berkeistimewaan boleh disalah guna atau dikompromi.

Sokongan kewangan yang kukuh, berdasarkan laporan, tidak menghapuskan risiko kelemahan dalam kawalan pentadbiran. Sebaliknya, kelemahan pengurusan kunci sahaja tidak membuktikan rizab tidak mencukupi.

Bukan perbandingan teknikal langsung antara USDT dan USDC

Markah Hacken tidak patut dibaca sebagai perbandingan teknikal satu lawan satu antara USDT dan USDC terbitan Circle. Laporan yang menjadi asas dapatan ini tidak menunjukkan Hacken telah membuat penilaian keselamatan siber setara terhadap USDC.

Tanpa metodologi yang sama digunakan pada kedua-dua sistem, markah itu tidak boleh dijadikan asas untuk menentukan kedudukan keselamatan relatif secara muktamad. Penilaian stablecoin juga mungkin menumpukan perkara berbeza, termasuk kualiti rizab, struktur undang-undang, proses penebusan, tadbir urus penerbit, keistimewaan kontrak pintar atau kawalan keselamatan siber.

Mengapa penerbitan tanpa kebenaran boleh memberi kesan besar

USDT direka untuk disokong oleh rizab penerbit. Jika pentadbir yang berniat jahat menerbitkan jumlah token yang besar tanpa aset sepadan dimasukkan ke dalam kumpulan rizab, tuntutan penebusan tertunggak boleh melebihi sandaran yang tersedia. Ketidaksepadanan itu boleh melemahkan keyakinan terhadap keupayaan USDT mengekalkan tambatan dolar AS.

Skalanya juga penting. Audit 2025 yang dilaporkan KPMG melibatkan penerbit dengan kira-kira US$180 bilion liabiliti USDT, manakala kontrak Tron sahaja dilaporkan mentadbir sekitar US$91.3 bilion. 118

Dalam senario tekanan, token baharu yang tidak disokong boleh dijual ke pasaran, memberi tekanan kepada tambatan harga dan menyebabkan pengguna serta platform dagangan menilai semula pendedahan mereka kepada USDT. Hasil akhirnya bergantung pada respons insiden, jumlah yang terlibat, kecairan pasaran dan kemampuan penerbit memulihkan kawalan yang dipercayai dengan pantas.

Inti pati untuk pengguna

Amaran Hacken paling tepat difahami sebagai isu pemusatan kuasa pentadbiran. Multisig 2-daripada-3 boleh menjadi kawalan keselamatan yang sah, tetapi risikonya meningkat apabila ia mentadbir nilai yang amat besar, tidak mempunyai timelock atau tempoh pemulihan, dan menggunakan semula kunci merentasi rangkaian.

Tiada bukti dilaporkan tentang pelanggaran aktif. Namun, penilaian ini menunjukkan bahawa semakan wajar terhadap stablecoin tidak sepatutnya terhad kepada pendedahan rizab. Pengguna dan institusi juga perlu memahami siapa yang mengawal kuasa naik taraf serta penerbitan token, bagaimana kunci tandatangan dilindungi, sama ada tindakan kritikal ditangguhkan, dan seberapa pantas sistem yang dikompromi boleh dibendung. 1824