Hacken identifie un risque clé sur 91 milliards de dollars d’USDT sur Tron
Hacken pointe la gestion du contrat USDT sur Tron, où deux signing keys suffisent pour piloter le minting, le gel et la réattribution. Bluechip a relevé la note de Tether après un audit de KPMG, mais estime que le risque technique demeure.
À retenir
- Hacken avertit qu’environ 91,3 milliards de dollars d’USDT sur Tron peuvent être pris en main via un contrat doté de deux signing keys.
- Le contrat peut mint des tokens, geler des adresses et réattribuer la propriété, sans délai intégré ni possibilité d’annulation.
- Bluechip a relevé la note de Tether après un audit de KPMG, mais Hacken estime que cela n’élimine pas le risque technique lié au contrat.
Hacken avertit qu’environ la moitié de tous les USDT en circulation, soit près de 91,3 milliards de dollars (78,6 milliards d'euros) sur Tron, est gérée via un contrat dont le contrôle administratif peut être pris en main avec deux signing keys. Selon la revue de sécurité, il n’existe ni délai intégré, ni fenêtre d’annulation, ni moyen d’annuler une modification. Dans le même temps, Tether a obtenu une note d’entreprise plus élevée de la part de Bluechip après un audit financier réalisé par KPMG US, ce qui montre qu’un bilan plus solide n’est pas automatiquement synonyme de conception de contrat plus sûre.
Ce que Hacken a observé
Le cœur de l’alerte ne concerne pas les réserves, mais la manière dont l’USDT sur Tron est administré. La multisig ne gère pas les wallets des utilisateurs, mais le contrat USDT lui-même. Le système peut ainsi mint des tokens, geler des adresses et réattribuer la propriété. Si deux clés sont compromises, un attaquant peut donc, selon Hacken, intervenir sur l’ensemble du déploiement sans toucher aux wallets individuels.
Hacken indique aussi que le même risque peut se répercuter sur Ethereum, Avalanche et Celo, car Tether réutilise les mêmes six signing keys sur ces réseaux. La revue n’a trouvé aucun indice montrant qu’une clé aurait déjà été compromise ou qu’un incident se soit produit. L’auditrice Seher Saylık a toutefois souligné qu’il n’existe aucun moyen fiable d’annuler une modification une fois les clés utilisées.
La note monte, le risque demeure
Bluechip a relevé la note d’entreprise de Tether de D à C après un audit de KPMG, Tether International, S.A. de C.V. affichant au 31 décembre 2025 un excédent de réserves de 6,8 milliards de dollars (5,9 milliards d'euros). Il s’agissait de la première évaluation sous le nouveau système SMIDGE de Bluechip, qui combine désormais l’analyse financière avec les risques techniques identifiés par Hacken. Bluechip avait maintenu Tether à D pendant des années et considérait l’audit comme une condition importante pour une amélioration de la note.
Pour autant, cette note plus élevée ne change rien à l’aspect technique du dossier. Hacken a indiqué que l’USDT ne dispose pas de contrôles automatiques de preuve de réserves ni de limite à la création de tokens. Dès lors que les signataires approuvent une transaction, le contrat peut mint n’importe quel montant sans preuve supplémentaire de dépôts bancaires. Cela rend le contrôle des clés particulièrement sensible, d’autant que Tether peut aussi, selon la revue, geler ou réattribuer des adresses.
Pourquoi cela compte pour l’Europe
Pour les investisseurs européens en crypto, ce sujet est pertinent car l’USDT reste l’une des principales sources de liquidité sur le marché des cryptomonnaies. Lorsqu’un stablecoin de cette ampleur dépend d’un petit nombre de clés, cela en dit long sur le risque opérationnel derrière une unité souvent utilisée comme couche de base pour les échanges. Le débat ne concerne donc pas seulement Tether, mais aussi la question plus large de savoir à quel point les stablecoins doivent être évalués de manière stricte sur le plan technique et financier.
Le récent audit complet de Tether chez KPMG montre pourquoi le débat reste si vif : la transparence financière et le contrôle technique ne sont pas la même chose. Justement pour une unité aussi largement utilisée, les régulateurs et les traders veulent pouvoir évaluer ces deux dimensions en même temps.
