USDT sur Tron : Deux clés pourraient contrôler 91 Md$, selon un audit

Environ 91,3 milliards de dollars d'USDT sur Tron, soit près de la moitié de l'offre en circulation, sont régis par un contrat dont les contrôles administratifs peuvent être saisis par toute personne détenant deux clés de signature, sans délai intégré, fenêtre d'annulation, ni moyen d'inverser la modification, selon une évaluation de la société de sécurité blockchain Hacken.

Le multisig ne détient pas les fonds des utilisateurs, mais il contrôle le contrat USDT lui-même : le pouvoir de frapper des tokens, de geler des adresses et de réattribuer la propriété. Un compromis de deux clés permettrait à un attaquant d'agir sur l'ensemble du déploiement sans toucher à aucun portefeuille individuel. Hacken a attribué à USDT un score de cybersécurité de 3,3 sur 10.

Pourquoi c'est important

Le risque traverse les blockchains parce que Tether réutilise les mêmes six clés de signature sur Ethereum, Avalanche et Celo. Un compromis impliquant des clés utilisées sur Celo ou Avalanche pourrait également autoriser une transaction administrative distincte sur Ethereum, selon Seher Saylık, auditrice de smart contracts chez Hacken. « Il n'y a aucun délai intégré, processus d'annulation, ni moyen fiable d'annuler les modifications. »

L'examen de Hacken n'a trouvé aucune preuve qu'une clé ait été compromise ou qu'un incident de sécurité se soit produit. Mais il a noté l'absence de lien entre les réserves et l'exécution du code : les smart contracts d'USDT ne disposent pas de vérifications automatisées de preuve de réserve ni de plafond sur la création de tokens. Une fois que les signataires autorisent une transaction, le contrat frappera n'importe quel montant sans exiger de preuve de dépôts bancaires.

Impact sur le marché

Bluechip a relevé la note corporate de Tether de D à C après qu'un audit KPMG a constaté que les réserves dépassaient les passifs de 6,8 milliards de dollars au 31 décembre 2025. Il s'agit du premier examen dans le cadre de la méthodologie SMIDGE élargie de Bluechip, qui intègre la notation de risque technique de Hacken dans son analyse financière et de gouvernance. Benjamin Levit, PDG de Bluechip : « Les notations de stablecoins ont toujours couvert le volet financier. Avec les données techniques de Hacken désormais intégrées dans notre méthodologie, nous pouvons enfin évaluer l'ensemble du tableau. »

S&P Global a rétrogradé l'USDT au score le plus faible possible sur son échelle de stabilité des stablecoins en novembre, citant le risque de décote, l'exposition au bitcoin et les lacunes dans la divulgation des réserves.