To nøkler kan gi kontroll over USDT for 91,3 mrd. dollar på Tron

Hacken har identifisert en alvorlig risiko knyttet til privilegert tilgang i administrasjonen av USDT på Tron. Det er viktig å skille dette fra en faktisk hack: Det foreligger ingen opplysninger om kompromitterte signeringsnøkler eller et gjennomført sikkerhetsbrudd. Problemet er at kontroll over to nøkler i en administrativ 2-av-3-multisig kan være nok til å overta en kontrakt som styrer rundt 91,3 milliarder dollar i Tron-basert USDT. Kontrakten skal ifølge rapporteringen ikke ha innebygd tidslås, avbrytingsvindu eller en pålitelig måte å rulle tilbake endringer på. 1824

Hva innebærer en 2-av-3-multisig?

I en 2-av-3-multisig må to av tre autoriserte signatarer godkjenne en administrativ handling. Det beskytter mot at én nøkkel går tapt eller blir kompromittert, men innebærer samtidig at to kompromitterte nøkler – eller to personer som samarbeider, presses eller misbruker tilgangen sin – oppfyller terskelen.

Hacken vurderte at to gyldige signaturer kunne brukes til å overta administrativ kontroll over den aktuelle Tron-kontrakten uten pålagt ventetid eller en mekanisme som lar andre stanse endringen før den trer i kraft. Kontrakten skal ha styrt omtrent halvparten av USDT i omløp på tidspunktet, rundt 91,3 milliarder dollar. 1822

Dette er en risiko i kontrollplanet, altså i rettighetene som styrer selve smartkontrakten. Det betyr ikke at en angriper automatisk kan tømme enkeltbrukeres lommebøker. 2236

Hva kan en ondsinnet administrator potensielt gjøre?

Rapporteringen om Hackens funn beskriver omfattende kontraktsrettigheter, blant annet mulighet til å:

• endre eierskap eller administrativ kontroll over kontrakten;
• utstede nye USDT;
• fryse adresser;
• slette eller nullstille frosne saldoer; og
• endre innstillinger for overføringsgebyrer. 3537

Alvoret ligger i kombinasjonen av slike fullmakter og fraværet av en tvungen forsinkelse. En tidslås ville gitt markedsplasser, brukere og utstederens sikkerhetsteam tid til å oppdage og eventuelt motvirke en mistenkelig endring. Uten en slik mekanisme kan en overtakelse med to nøkler få virkning før andre rekker å reagere. 1822

Gjenbruk av nøkler kan gi risiko på tvers av blokkjeder

Hacken skal også ha funnet at seks signeringsnøkler var gjenbrukt på Ethereum, Avalanche og Celo. Det beviser ikke at disse nettverkene har samme multisig-terskel, og det betyr heller ikke at en hendelse på Tron automatisk rammer de andre kjedene.

Men nøkkelgjenbruk skaper korrelert risiko: Hvis de samme tilgangsopplysningene kompromitteres, kan konsekvensene nå flere miljøer i stedet for å være avgrenset til én blokkjede. 41

Separate kontrakter på ulike nettverk er altså ikke nødvendigvis tilstrekkelig risikospredning dersom de samme nøklene, personene, enhetene og sikkerhetsrutinene beskytter dem alle.

Er USDT faktisk kompromittert?

Nei, ikke ifølge opplysningene som ligger til grunn for rapporteringen. Hackens vurdering beskriver en mulig angrepsvei og en svakhet i den administrative kontrollmodellen. Den er ikke dokumentasjon på stjålne nøkler, uautorisert utstedelse, et ondsinnet eierskifte eller en gjennomført overtakelse. 24

Å omtale dette som en «hack på 91,3 milliarder dollar» ville derfor være misvisende. Tallet viser til den omtrentlige mengden Tron-USDT som kontrakten styrer, ikke rapporterte tap.

Hvorfor fikk USDT 3,3 av 10 i cybersikkerhet?

Hackens lave cybersikkerhetsscore reflekterer den potensielle konsekvensen og hvor raskt en administrativ overtakelse kan skje: To nøkler kan i teorien gi kontroll over en svært stor token-distribusjon, uten en innebygd forsinkelse, avbrytingsprosess eller sikker reversering. 1834

En cybersikkerhetsscore besvarer imidlertid noe annet enn en revisjon av reserver. Den vurderer hvor godt tekniske og operative kontroller tåler kompromittering; den sier ikke i seg selv at USDT-reservene mangler eller at dollarkoblingen er brutt.

Derfor kan Bluechips oppgradering og Hackens advarsel begge være riktige

Bluechip oppgraderte Tethers selskapsrating fra D til C, samtidig som Hackens tekniske vurdering var lav. Det er ikke nødvendigvis en selvmotsigelse, fordi vurderingene dekker ulike risikolag. Bluechips oppdaterte metode skal omfatte finansielle forhold, styring og cybersikkerhet, mens KPMG US’ revisjon gjaldt Tether Internationals regnskap for 2025. 1824

KPMG US avga en revisjonsuttalelse uten forbehold, og Tether opplyste at reservene oversteg forpliktelsene med rundt 6,814 milliarder dollar per 31. desember 2025. Reuters rapporterte samtidig at selve revisjonen ikke ble offentliggjort. 1

Kort sagt:

• Regnskaps- og reservevurderinger handler om hvorvidt utstederens eiendeler og forpliktelser var korrekt presentert på et gitt tidspunkt.
• Vurderinger av smartkontrakter og nøkkeladministrasjon handler om hvorvidt privilegerte kontrollrettigheter kan misbrukes eller kompromitteres.

God rapportert finansiell dekning fjerner ikke risikoen ved svake administrative kontroller. Motsatt viser ikke en svakhet i nøkkelstyringen, i seg selv, at reservene er utilstrekkelige.

Ingen direkte teknisk dom over USDT mot USDC

Hackens score bør heller ikke leses som en direkte, sammenlignbar teknisk rangering av USDT mot Circles USDC. Grunnlaget for denne saken dokumenterer ikke at Hacken har gjennomført en tilsvarende cybersikkerhetsvurdering av USDC. Uten samme metode anvendt på begge er det ikke grunnlag for en endelig relativ sikkerhetsrangering.

Vurderinger av stablecoins kan dessuten måle forskjellige forhold: reservekvalitet, juridisk struktur, innløsning, styring, kontraktsrettigheter eller tekniske sikkerhetskontroller.

Hvorfor uautorisert utstedelse kan få større følger

USDT er ment å være dekket av utstederens reserver. Dersom en angriper med administrativ kontroll utstedte store mengder nye tokens uten at tilsvarende verdier ble lagt inn i reservebeholdningen, kunne antallet innløsningskrav overstige den reelle dekningen. Det ville kunne svekke tilliten til USDTs dollarkobling.

Skalaen forsterker risikoen: KPMGs rapporterte revisjon gjaldt en utsteder med rundt 180 milliarder dollar i USDT-forpliktelser, mens Tron-kontrakten alene skal ha styrt rundt 91,3 milliarder dollar. 118

I et stresscenario kunne nyutstedte, udekkede tokens bli solgt i markedet, legge press på dollarkursen og få børser og brukere til å revurdere eksponeringen sin. Utfallet ville avhenge av blant annet hendelseshåndtering, omfang, markedslikviditet og hvor raskt Tether kunne gjenopprette troverdig kontroll.

Det viktigste å ta med seg

Hackens rapport er først og fremst en advarsel om konsentrert administrativ makt. En 2-av-3-multisig kan være en legitim sikkerhetskontroll, men risikoen øker kraftig når den styrer svært store verdier, mangler tidslås og gjenopprettingsvindu, og bygger på nøkler som brukes på tvers av flere nettverk.

Det finnes ingen rapporterte bevis for et aktivt brudd. Likevel illustrerer vurderingen hvorfor due diligence av stablecoins må gå utover reserveopplysninger: Brukere og institusjoner bør også se på hvem som har rett til å oppgradere kontrakter eller utstede tokens, hvordan nøklene sikres, om kritiske endringer forsinkes, og hvor raskt systemet kan begrenses dersom kontrollen blir kompromittert. 1824