Una violación de dos claves podría otorgar el control de 91 mil millones de dólares en USDT a hackers, según informe

Alrededor de la mitad de todo el $USDT en circulación, aproximadamente 91.3 mil millones de dólares en la red Tron, está gobernado por un contrato cuyos controles administrativos pueden ser tomados por cualquiera que posea dos claves de firma, sin un retraso incorporado, ventana de cancelación o forma de revertir el cambio, según una evaluación realizada por la firma de seguridad blockchain Hacken.

Aunque la stablecoin más grande del mundo obtuvo solo 3.3 de 10 en ciberseguridad, la empresa calificadora Bluechip elevó la calificación corporativa del emisor Tether a C desde D, tras una auditoría financiera realizada por KPMG US, una de las Cuatro Grandes firmas globales de auditoría. La compañía es la primera en ser revisada por Bluechip bajo un nuevo sistema que combina una revisión financiera con un análisis realizado por Hacken. La revisión no encontró evidencia de que alguna clave haya sido comprometida ni que haya ocurrido algún incidente de seguridad.

La multisig no retiene fondos de usuarios, controla el contrato $USDT en sí — el poder de acuñar tokens, congelar direcciones y reasignar la propiedad — por lo que una vulneración de dos claves permitiría a un atacante actuar en toda la implementación sin tocar ninguna billetera individual.

“No existe un retraso incorporado, un proceso de cancelación ni una manera confiable de deshacer los cambios,” declaró Seher Saylık, auditor de contratos inteligentes en Hacken, a CoinDesk a través de Telegram.

Tether no respondió de inmediato a una solicitud de comentarios.

Hacken declaró que aún no ha completado una evaluación comparable de $USDC de Circle. Bluechip’s Calificación B+ para $USDC no puede ser considerado como una comparación técnica directa porque fue asignado bajo la metodología anterior de Bluechip, antes de que se introdujera el factor de ciberseguridad de Hacken.

Saylık afirmó que un atacante podría primero cambiar el propietario del contrato a una dirección que controle, bloqueando a los signatarios legítimos de Tether. Luego, el atacante podría acuñar $USDT, detener o reanudar transferencias, congelar direcciones, eliminar saldos congelados, imponer una tarifa de transferencia o redirigir los saldos y transferencias de tokens, dijo. El atacante no necesitaría acceso a las billeteras individuales de los usuarios.