Hacken waarschuwt voor tweesleutelrisico bij $91,3 miljard aan USDT op Tron

Hacken heeft een risico met mogelijk grote gevolgen vastgesteld in het beheerdersbeheer van USDT op Tron. Dat betekent nadrukkelijk niet dat USDT is gehackt. In de berichtgeving is geen aanwijzing gevonden dat ondertekeningssleutels zijn buitgemaakt of dat er een daarmee samenhangende inbreuk heeft plaatsgevonden. 1824

De zorg is dat twee sleutels binnen een administratieve 2-van-3-multisig voldoende kunnen zijn om de controle over te nemen van een contract dat ongeveer $91,3 miljard aan USDT op Tron beheert. Daarbij zou geen ingebouwde timelock, annuleringsvenster of betrouwbaar mechanisme bestaan om de wijziging terug te draaien. 1822

Wat heeft Hacken vastgesteld?

De gerapporteerde opzet gebruikt een 2-van-3-multisignature voor administratieve handelingen. Dat houdt in dat twee van de drie bevoegde ondertekenaars een transactie kunnen goedkeuren. Zo'n model beschermt tegen verlies of compromittering van één sleutel, maar twee gecompromitteerde sleutels — of twee samenwerkende, kwaadwillende of onder druk gezette ondertekenaars — halen wel de vereiste drempel.

Volgens Hackens beoordeling konden twee geldige handtekeningen de administratieve controle over het Tron-contract overnemen, zonder verplichte wachttijd en zonder mogelijkheid voor anderen om de actie vooraf te annuleren. Het contract beheerde naar verluidt ongeveer de helft van alle toen circulerende USDT: circa $91,3 miljard. 1822

Dit is een risico in de controlelaag van het systeem. Het betekent niet dat een aanvaller automatisch USDT uit de wallets van alle gebruikers kan wegsluizen. Het gaat om de geprivilegieerde functies waarmee het USDT-smartcontract zelf wordt beheerd. 2236

Wat zou een kwaadwillende beheerder kunnen doen?

In de berichtgeving over Hackens bevindingen worden krachtige contractrechten genoemd, waaronder de mogelijkheid om:

• eigendom of administratieve controle van het contract te wijzigen;
• USDT te minten;
• adressen te bevriezen;
• bevroren saldi te wissen; en
• instellingen voor transactiekosten aan te passen. 3537

De ernst zit in de combinatie van die bevoegdheden en het ontbreken van een verplichte vertraging. Een timelock creëert een periode waarin verdachte wijzigingen kunnen worden opgemerkt en mogelijk nog kunnen worden tegengehouden. Zonder zo'n vertraging kan een succesvolle overname met twee sleutels effect hebben voordat gebruikers, handelsplatforms of het beveiligingsteam van de uitgever zinvol kunnen reageren. 1822

Hergebruikte sleutels vergroot het risico over meerdere blockchains

Hacken stelde volgens de berichtgeving ook vast dat zes ondertekeningssleutels werden hergebruikt op Ethereum, Avalanche en Celo. Dat bewijst niet dat die netwerken dezelfde multisig-drempel gebruiken, noch dat een incident op Tron automatisch elk van die implementaties compromitteert. Wel ontstaat er gecorreleerd risico: een compromittering van gedeelde inlog- of sleutelmaterialen kan gevolgen hebben op meerdere blockchains in plaats van geïsoleerd te blijven. 41

Aparte contracten op aparte netwerken kunnen dus alsnog afhankelijk zijn van dezelfde uiterst gevoelige sleutels. Daarmee wordt het operationele risico geconcentreerd in de personen, apparaten, processen en herstelprocedures die die sleutels moeten beschermen.

Is USDT daadwerkelijk gecompromitteerd?

Nee, er is geen bevestigde compromittering gemeld. Hackens bevinding beschrijft een mogelijke aanvalsmethode en een zwak punt in het ontwerp van de administratieve controle. Het is geen bewijs van gestolen sleutels, een ongeautoriseerde mint, een kwaadaardige eigendomsoverdracht of een geslaagde overname. 24

De omschrijving als een "hack van $91,3 miljard" zou daarom onjuist zijn. Dat bedrag slaat op de geschatte hoeveelheid Tron-USDT die door het contract wordt beheerd, niet op gemelde verliezen.

Waarom gaf Hacken USDT een cybersecurityscore van 3,3 op 10?

De lage score weerspiegelt de mogelijke impact en de snelheid waarmee het administratieve risico zich zou kunnen manifesteren. Twee sleutels zouden controle over een zeer grote tokenimplementatie kunnen autoriseren, terwijl de gemelde opzet geen ingebouwde vertraging, annuleringsproces of betrouwbare terugdraaifunctie bevatte. 1834

Zo'n cybersecurityscore beantwoordt een andere vraag dan een controle van reserves: zijn de technische implementatie en operationele beheersmaatregelen bestand tegen compromittering? De score is op zichzelf geen uitspraak dat USDT-reserves ontbreken of dat de koppeling aan de dollar verloren is gegaan.

Waarom een KPMG-audit en deze technische waarschuwing naast elkaar kunnen bestaan

Bluechip verhoogde de bedrijfsrating van Tether van D naar C, terwijl Hackens technische beoordeling laag bleef. Dat hoeft niet tegenstrijdig te zijn, omdat beide beoordelingen verschillende risicolagen behandelen. Volgens de berichtgeving omvat Bluechips herziene methode financiële, governance- en cybersecurityfactoren; de KPMG US-audit betrof de financiële jaarrekening van Tether International over 2025. 1824

KPMG US gaf een goedkeurende controleverklaring zonder voorbehoud af. Tether stelde dat de reserves per 31 december 2025 de verplichtingen met ongeveer $6,814 miljard overtroffen. Reuters meldde wel dat de audit zelf niet openbaar is gemaakt. 1

Kort samengevat:

• Analyse van reserves en financiële jaarrekeningen kijkt of activa en verplichtingen van de uitgever op een bepaald moment correct zijn gepresenteerd.
• Analyse van smart contracts en sleutelbeheer kijkt of geprivilegieerde on-chain-controles misbruikt of gecompromitteerd kunnen worden.

Een gerapporteerde financiële buffer neemt het risico van onvoldoende beveiligde beheerdersrechten niet weg. Andersom bewijst een zwakte in sleutelbeheer niet dat reserves ontbreken.

Geen directe technische ranglijst tegenover USDC

Hackens score is niet bedoeld als één-op-één technische vergelijking tussen USDT en Circle's USDC. De berichtgeving waarop deze bevinding rust, toont niet aan dat Hacken een vergelijkbare cybersecuritybeoordeling voor USDC heeft gepubliceerd. Zonder dezelfde methode voor beide systemen kan uit de scores geen definitieve veiligheidsranglijst worden afgeleid.

Beoordelingen van stablecoins kunnen bovendien uiteenlopende zaken meten: kwaliteit van reserves, juridische structuur, inwisselbaarheid, governance, contractrechten of cybersecurity. Voor een bruikbare vergelijking moet duidelijk zijn welk risico een rating precies beoordeelt.

Waarom ongeautoriseerde minting verder kan reiken dan Tron

USDT is bedoeld als token dat wordt gedekt door reserves van de uitgever. Als een kwaadwillende beheerder op grote schaal tokens zou minten zonder dat daar nieuwe activa in de reserve tegenover staan, kunnen de uitstaande claims hoger worden dan de beschikbare dekking. Dat kan het vertrouwen in de dollarkoppeling ondermijnen.

De schaal vergroot het potentiële effect. De gerapporteerde KPMG-audit over 2025 betrof een uitgever met ongeveer $180 miljard aan USDT-verplichtingen, terwijl het Tron-contract alleen al volgens de berichtgeving circa $91,3 miljard beheerde. 118

In een stressscenario zouden nieuw geminte, niet-gedekte tokens op de markt verkocht kunnen worden, druk op de koppeling kunnen zetten en gebruikers en handelsplatforms ertoe kunnen brengen hun blootstelling aan USDT opnieuw te beoordelen. De uitkomst zou afhangen van de omvang van het incident, liquiditeit, responsmaatregelen en de snelheid waarmee de uitgever de betrouwbare controle kan herstellen.

De kern voor gebruikers en instellingen

Hackens rapport is vooral een waarschuwing over geconcentreerde administratieve macht. Een 2-van-3-multisig kan een legitieme beveiligingsmaatregel zijn, maar het risico neemt sterk toe wanneer die een zeer grote tokenvoorraad beheert, geen timelock of herstelvenster kent en sleutels over meerdere netwerken worden hergebruikt.

Er is geen gemeld bewijs van een actieve inbreuk. Toch laat de beoordeling zien waarom due diligence bij stablecoins verder moet gaan dan reserveverklaringen: ook van belang zijn wie mint- en upgradebevoegdheden beheert, hoe sleutels worden beschermd, of kritieke acties worden vertraagd en hoe snel een gecompromitteerd systeem kan worden ingedamd. 1824