USDT na Tron: duas chaves podem controlar 91 mil milhões de dólares, revela auditoria

Cerca de 91,3 mil milhões de dólares em USDT na Tron, quase metade de toda a oferta em circulação, são governados por um contrato cujos controlos administrativos podem ser tomados por qualquer pessoa que detenha duas chaves de assinatura, sem qualquer atraso incorporado, janela de cancelamento ou forma de reverter a alteração, segundo uma avaliação da empresa de segurança blockchain Hacken.

A multisig não guarda fundos dos utilizadores; controla o próprio contrato USDT: o poder de cunhar tokens, congelar endereços e reatribuir a propriedade. Um compromisso de duas chaves permitiria a um atacante agir em toda a implementação sem tocar em nenhuma carteira individual. A Hacken atribuiu à USDT uma pontuação de cibersegurança de 3,3 em 10.

Porque é importante

O risco atravessa cadeias porque a Tether reutiliza as mesmas seis chaves de assinatura em Ethereum, Avalanche e Celo. Um compromisso que envolse as chave usadas na Celo ou na Avalanche poderia também autorizar uma transação administrativa separada na Ethereum, segundo a auditora de contratos inteligentes da Hacken, Seher Saylık. «Não há qualquer atraso incorporado, processo de cancelamento ou forma fiável de reverter as alterações.»

A análise da Hacken não encontrou provas de que qualquer chave tenha sido comprometida nem de que tenha ocorrido qualquer incidente de segurança. Mas registou a ausência de ligação entre as reservas e a execução do código: os contratos inteligentes da USDT não têm verificações automatizadas de prova de reservas nem qualquer limite à criação de tokens. Uma vez que os signatários autorizem uma transação, o contrato cunhará qualquer quantia sem exigir prova dos depósitos bancários.

Impacto no mercado

A Bluechip elevou a nota corporativa da Tether de D para C depois de uma auditoria da KPMG ter concluído que as reservas excediam os passivos em 6,8 mil milhões de dólares a 31 de dezembro de 2025. É a primeira avaliação sob a metodologia SMIDGE alargada da Bluechip, que integra a pontuação de risco técnico da Hacken na sua análise financeira e de governação. Benjamin Levit, CEO da Bluechip: «As classificações de stablecoins sempre cobriram o lado financeiro. Com os dados técnicos da Hacken agora integrados na nossa metodologia, podemos finalmente classificar o panorama completo.»

A S&P Global desvalorizou a USDT para a pontuação mais fraca possível na sua escala de estabilidade de stablecoins em novembro, citando o risco de peg, a exposição a bitcoin e lacunas na divulgação de reservas.