Hacken ostrzega: dwie sygnatury mogą wystarczyć do przejęcia kontroli nad 91,3 mld dolarów w USDT na Tronie

Ocena firmy Hacken wskazuje na ryzyko związane z uprzywilejowanym dostępem administracyjnym do USDT w sieci Tron. Nie jest to informacja o zhakowaniu USDT: według dostępnych relacji nie wykryto kompromitacji kluczy ani powiązanego naruszenia bezpieczeństwa. Problem polega na tym, że kontrola nad dwoma kluczami w modelu administracyjnego multisigu 2-z-3 mogłaby umożliwić przejęcie kontraktu zarządzającego około 91,3 mld dolarów w USDT na Tronie — bez wbudowanej blokady czasowej, okresu anulowania czy wiarygodnej ścieżki cofnięcia zmiany. 1824

Na czym polega wykryte ryzyko

W opisywanej konfiguracji zastosowano multisig 2-z-3. Oznacza to, że do zatwierdzenia działania administracyjnego wystarczą podpisy dwóch z trzech uprawnionych osób lub kluczy. Taki model zabezpiecza system przed utratą jednego klucza, ale równocześnie dwa przejęte klucze — albo dwóch działających w zmowie lub pod przymusem sygnatariuszy — spełniają wymagany próg.

Według oceny Hacken dwa ważne podpisy mogłyby posłużyć do przejęcia kontroli administracyjnej nad kontraktem bez obowiązkowego okresu oczekiwania i bez mechanizmu, który pozwoliłby innym stronom zatrzymać zmianę przed jej wejściem w życie. Kontrakt miał zarządzać około połową podaży USDT w obiegu, czyli około 91,3 mld dolarów. 1822

To problem warstwy kontroli nad kontraktem, a nie bezpośredniego dostępu do środków poszczególnych użytkowników. Innymi słowy: taka sytuacja nie oznacza automatycznego opróżnienia wszystkich portfeli z USDT. 2236

Co mógłby zrobić wrogi administrator

Relacje o ustaleniach Hacken wskazują, że uprawnienia administracyjne kontraktu obejmują m.in. możliwość:

• zmiany właściciela lub kontroli administracyjnej kontraktu;
• emisji nowych USDT;
• zamrażania adresów;
• czyszczenia lub usuwania zamrożonych sald;
• zmiany ustawień opłat za transfery. 3537

O wysokiej wadze ryzyka decyduje połączenie tych kompetencji z brakiem obowiązkowego opóźnienia. Blokada czasowa (timelock) tworzyłaby okres, w którym podejrzana zmiana mogłaby zostać zauważona, a następnie potencjalnie powstrzymana. Bez niej przejęcie kontroli przez dwa klucze mogłoby stać się skuteczne, zanim użytkownicy, giełdy lub zespół bezpieczeństwa emitenta zdążyliby realnie zareagować. 1822

Ponowne użycie kluczy zwiększa ryzyko między sieciami

Hacken miał również ustalić, że sześć kluczy podpisujących wykorzystywano ponownie w sieciach Ethereum, Avalanche i Celo. Nie dowodzi to, że na wszystkich tych sieciach obowiązuje identyczny próg multisigu ani że incydent na Tronie automatycznie naruszyłby pozostałe wdrożenia. Tworzy jednak skorelowane ryzyko: kompromitacja wspólnych danych uwierzytelniających mogłaby dotknąć więcej niż jednego łańcucha. 41

Oddzielne kontrakty w różnych sieciach nie muszą oznaczać pełnej izolacji operacyjnej, jeśli korzystają ze wspólnego zestawu kluczy o wysokich uprawnieniach. Ryzyko skupia się wtedy w zabezpieczeniach urządzeń, procedurach, osobach i planach odzyskiwania kontroli nad tymi kluczami.

Czy USDT zostało faktycznie skompromitowane?

Nie. W przedstawionych relacjach nie ma potwierdzenia kompromitacji. Ustalenia Hacken opisują potencjalną ścieżkę ataku i słabość projektu kontroli administracyjnej, a nie dowód kradzieży kluczy, nieautoryzowanej emisji, wrogiego transferu własności czy udanego przejęcia systemu. 24

Dlatego określanie tej sprawy jako „ataku na USDT za 91,3 mld dolarów” byłoby nieprecyzyjne. Kwota 91,3 mld dolarów opisuje przybliżoną wartość USDT zarządzanego przez wskazany kontrakt, a nie zgłoszone straty.

Skąd ocena cyberbezpieczeństwa 3,3/10

Niska ocena Hacken wynika z potencjalnych skutków oraz szybkości, z jaką problem mógłby się zmaterializować. Dwa klucze mogłyby wystarczyć do autoryzowania kontroli nad bardzo dużą częścią tokenów, a opisywany projekt nie przewidywał wbudowanego opóźnienia, procesu anulowania ani pewnego sposobu odwrócenia zmian. 1834

Taka ocena odpowiada na inne pytanie niż audyt rezerw: dotyczy odporności technicznych i operacyjnych mechanizmów kontroli na przejęcie. Sama w sobie nie jest twierdzeniem, że rezerwy USDT nie istnieją ani że token utracił powiązanie z dolarem.

Dlaczego audyt KPMG i ostrzeżenie Hacken nie muszą sobie przeczyć

Bluechip podniósł ocenę korporacyjną Tether z D do C, choć techniczna ocena Hacken pozostała niska. Nie są to koniecznie sprzeczne wnioski, ponieważ dotyczą różnych rodzajów ryzyka. Według relacji metodologia Bluechip uwzględnia czynniki finansowe, zarządcze i cyberbezpieczeństwo, natomiast audyt KPMG US dotyczył sprawozdań finansowych Tether International za 2025 r. 1824

KPMG US wydało opinię bez zastrzeżeń, a Tether podał, że na 31 grudnia 2025 r. rezerwy przewyższały zobowiązania o około 6,814 mld dolarów. Reuters informował zarazem, że sam audyt nie został opublikowany. 1

W uproszczeniu:

• analiza rezerw i sprawozdań finansowych dotyczy tego, czy aktywa i zobowiązania emitenta zostały właściwie przedstawione na dany moment;
• analiza kontraktu i zarządzania kluczami dotyczy tego, czy uprzywilejowane uprawnienia w sieci mogą zostać przejęte lub nadużyte.

Dobre wskaźniki finansowe nie usuwają ryzyka związanego ze słabą kontrolą administracyjną. Z drugiej strony wada zarządzania kluczami sama w sobie nie dowodzi braku rezerw.

To nie jest bezpośredni techniczny ranking USDT i USDC

Oceny Hacken nie należy traktować jako porównania technicznego USDT z USDC emitowanym przez Circle. Materiał źródłowy nie potwierdza, by Hacken opublikował porównywalną ocenę cyberbezpieczeństwa USDC. Bez zastosowania tej samej metodologii wobec obu systemów nie da się na podstawie tych wyników sporządzić wiążącego rankingu ich względnego bezpieczeństwa.

Różne oceny stablecoinów mogą badać odmienne kwestie: jakość rezerw, strukturę prawną, zasady wykupu, ład korporacyjny emitenta, uprawnienia kontraktów albo zabezpieczenia cybernetyczne. Rzetelne porównanie wymaga ustalenia, co dokładnie mierzy dana ocena.

Dlaczego nieautoryzowana emisja mogłaby mieć szersze konsekwencje

USDT ma być wspierany rezerwami emitenta. Gdyby wrogi administrator wyemitował znaczącą liczbę tokenów bez równoległego zwiększenia rezerw, liczba roszczeń o wykup mogłaby przewyższyć dostępne zabezpieczenie. Taka rozbieżność mogłaby osłabić zaufanie do utrzymania kursu USDT wobec dolara.

Skalę potencjalnego problemu zwiększa wielkość systemu. Raportowany audyt KPMG za 2025 r. dotyczył emitenta z zobowiązaniami z tytułu USDT na poziomie około 180 mld dolarów, a sam kontrakt na Tronie miał zarządzać około 91,3 mld dolarów. 118

W scenariuszu stresowym świeżo wyemitowane tokeny bez pokrycia mogłyby zostać sprzedane na rynku, wywierając presję na kurs i zmuszając użytkowników oraz platformy do ponownej oceny ekspozycji na USDT. Ostateczny przebieg zależałby od reakcji na incydent, skali emisji, płynności rynku oraz tego, czy emitent szybko odzyskałby wiarygodną kontrolę. Najważniejszy wniosek jest jednak prosty: w przypadku scentralizowanych stablecoinów rezerwy i bezpieczna administracja są równie istotne dla zaufania do tokena.

Co z tego wynika dla użytkowników

Raport Hacken należy przede wszystkim rozumieć jako ostrzeżenie przed koncentracją uprawnień administracyjnych. Multisig 2-z-3 może być prawidłowym zabezpieczeniem, lecz ryzyko rośnie, gdy chroni on bardzo duże wdrożenie, nie ma blokady czasowej ani okna odzyskiwania kontroli, a klucze są używane ponownie w wielu sieciach.

Nie ma zgłoszonych dowodów na trwający atak. Ocena pokazuje jednak, że analiza stablecoina nie powinna kończyć się na informacjach o rezerwach. Warto również sprawdzać, kto ma uprawnienia do emisji i aktualizacji kontraktu, jak chronione są klucze podpisujące, czy krytyczne działania są opóźniane oraz jak szybko można ograniczyć skutki kompromitacji. 1824