Hacken dio a Tether una calificación de ciberseguridad de 3,3 sobre 10 y encontró que la mitad del USDT circulante en Tron no tiene timelock, ventana de cancelación ni mecanismo de reversión
La firma de seguridad blockchain Hacken publicó esta semana la primera auditoría técnica de Tether bajo el nuevo marco de calificación de Bluechip, que combina revisión financiera con análisis de seguridad en cadena. El resultado fue contradictorio: Bluechip subió la calificación corporativa de Tether de D a C después de que KPMG verificara que las reservas del emisor superan sus pasivos en 6.800 millones de dólares. Pero Hacken le dio a USDT un puntaje de ciberseguridad de 3,3 sobre 10, y el hallazgo central es difícil de ignorar.
El riesgo concreto
Aproximadamente 91.300 millones de dólares en USDT que circulan en la red Tron están gobernados por un contrato inteligente cuyo control administrativo puede ser tomado por cualquier atacante que obtenga dos de tres claves de firma. No hay timelock, no hay ventana de cancelación, no hay forma de revertir el cambio una vez ejecutado.
Quien controle esas dos claves no accede a las billeteras individuales de los usuarios, sino algo más grave, accede al contrato USDT en sí. Eso incluye la capacidad de acuñar tokens sin límite, congelar direcciones, eliminar saldos congelados, imponer tarifas de transferencia y reasignar la propiedad del contrato, eliminando permanentemente la capacidad de Tether de operar o congelar fondos. “No existe un retraso incorporado, un proceso de cancelación ni una manera confiable de deshacer los cambios”, señaló Seher Saylık a Coindesk.
El riesgo no se limita a Tron. Hacken identificó que Tether reutiliza las mismas seis claves de firma en Ethereum, Avalanche y Celo, lo que significa que una brecha en cualquiera de esas redes podría usarse para autorizar acciones administrativas en las demás.
La brecha entre reservas y código
El hallazgo expone una tensión que el nuevo marco de Bluechip pone en evidencia por primera vez: el respaldo financiero de una stablecoin y la seguridad de su infraestructura en cadena son dos cosas distintas que hasta ahora se evaluaban por separado.
KPMG auditó las reservas fuera de cadena y las encontró sólidas. Hacken auditó los contratos y encontró que no existe ningún vínculo entre esas reservas y el código: los contratos de USDT no tienen verificación automatizada de prueba de reservas ni límite en la creación de tokens. Una vez que los firmantes autorizan una transacción, el contrato acuñará cualquier cantidad sin requerir prueba de depósitos bancarios.
Hacken aclaró que no encontró evidencia de que alguna clave haya sido comprometida ni de que haya ocurrido un incidente de seguridad. Tether no respondió a las solicitudes de comentario. Pero expertos citados en análisis recientes advirtieron que las claves de minteo de Tether representan blancos de alto valor para ataques cuánticos, con estimaciones de que ese riesgo podría volverse viable hacia 2028.
Con 184.600 millones de dólares en circulación, USDT es una de las principales fuentes de liquidez del ecosistema cripto global. Que la infraestructura técnica que lo sostiene reciba una nota de 3,3 sobre 10 en su primera auditoría de seguridad formal no es un detalle menor. El mercado sigue funcionando porque las claves no han sido comprometidas. La pregunta que deja abierta el informe de Hacken es cuánto tiempo conviene seguir apostando a eso.