Una auditoría de la firma de ciberseguridad Hacken reveló que cerca de la mitad de todo el USDT en circulación, unos u$s91.300 millones emitidos sobre la red Tron, podría quedar bajo el control de un atacante si consigue apoderarse de solo dos claves digitales, sin que exista ninguna forma de frenar o revertir ese cambio.
En otras palabras, no hace falta vulnerar millones de billeteras individuales para poner en jaque una porción enorme de la principal stablecoin del mercado: alcanza con obtener acceso a dos códigos que hoy están en manos de responsables de Tether.
La auditoría, de todos modos, no encontró indicios de que eso haya ocurrido ni de que exista un ataque en marcha: describe un riesgo posible, no un hecho consumado.
Cómo funciona la vulnerabilidad, explicada de forma simple
El sistema que administra el contrato de USDT en Tron funciona como una caja fuerte que reparte tres llaves distintas entre personas de confianza de Tether, pero que se abre cuando coinciden dos de esas tres llaves. Ese mecanismo se conoce como multifirma 2-de-3.
El punto débil, según Hacken, es que esa caja fuerte no tiene alarma ni demora de seguridad: en los sistemas bien protegidos, cualquier cambio importante queda en espera unas horas o días antes de aplicarse, lo que da tiempo a detectar un fraude y cancelarlo. Acá eso no existe: si dos llaves se usan juntas, el cambio se ejecuta al instante y no hay manera de deshacerlo.
Es importante aclarar que esta caja fuerte no guarda el dinero de los usuarios. Lo que controla es el sistema que decide quién puede emitir nuevos USDT, congelar cuentas o directamente cambiar de dueño el contrato.
Qué podría hacer alguien que se apodere de esas dos claves
Si un atacante lograra las dos llaves, el primer paso posible sería quedarse con la propiedad del contrato y dejar afuera a los responsables actuales de Tether.
Desde ahí podría:
- Emitir USDT sin ningún respaldo real
- Congelar o descongelar cuentas a su antojo
- Cobrar comisiones extra o redirigir fondos
El problema no se limita a Tron, que concentra gran parte de la emisión de USDT. Tether usa el mismo grupo de seis llaves también en Ethereum, Avalanche y Celo, así que un robo de claves en una de esas redes podría abrir la puerta a un ataque en otra.
Tampoco hay un mecanismo automático que chequee, antes de emitir tokens nuevos, si existe realmente el dinero que los respalda fuera de la blockchain. Esa verificación depende hoy de los controles internos de la empresa, no del propio sistema.
Tether mejoró su calificación pese al hallazgo de seguridad
Mientras se conocía este informe, la calificadora Bluechip subió la nota corporativa de Tether de D a C, luego de que la auditora KPMG US confirmara que sus reservas superan sus deudas en unos u$s6.800 millones. Fue la primera evaluación bajo un nuevo método que combina el análisis financiero con la revisión técnica de Hacken.
Leo Fan, fundador de Cysic.xyz, resumió el contraste: la auditoría mejoró el puntaje, pero no cambió nada en el sistema que sigue dependiendo de solo dos llaves sin freno de seguridad.
En noviembre pasado, S&P Global Ratings ya había bajado la calificación de USDT a su nivel más débil por preocupaciones similares, algo que Tether rechazó en su momento.
Qué significa esto para los usuarios en Argentina
El tema pega de lleno en la Argentina, donde USDT es la stablecoin más elegida para resguardarse de la inflación y las restricciones cambiarias. Según datos recientes, el 78% de las compras locales de criptomonedas se concentró en este token, muy por encima de sus competidores.
Tether además viene aumentando sus inversiones en plataformas cripto argentinas para ganar más usuarios en el país: esa dependencia hace que cualquier eventualidad sobre la seguridad del sistema termine afectando también a los ahorristas locales, aun cuando hoy no hay señales de que el riesgo se haya materializado.
Casos anteriores muestran que esto no es solo una hipótesis: en marzo, un ataque a la stablecoin de Resolv le hizo perder el 70% de su valor tras una emisión fraudulenta de tokens, y en mayo StablR sufrió algo similar por unos u$s13,5 millones.
