Aggiornato all’8 settembre 2026. L’analisi descrive un rischio di controllo, non un attacco già avvenuto.
USDT su Tron dipende da controlli privilegiati protetti da un wallet multisig 2-su-3, secondo la nuova valutazione pubblicata da Hacken e integrata nel metodo di rating Bluechip. Due firme sufficienti possono autorizzare funzioni sensibili su una rete che ospita circa metà dell’offerta nativa di USDT.
Il dato merita attenzione, ma non significa che due chiavi permettano oggi a un hacker di prelevare automaticamente ogni USDT esistente. La domanda corretta è quali poteri amministrativi controllino, come siano custodite le chiavi e quali difese possano limitare un’autorizzazione malevola o errata.
USDT su Tron e multisig 2-su-3: il risultato di Hacken
La valutazione primaria di Hacken ha esaminato Tron, Ethereum e Solana, che insieme rappresenterebbero il 98% dell’offerta nativa analizzata, pari a circa 184,6 miliardi di dollari. Su Tron, i controlli privilegiati risulterebbero associati a una configurazione 2-su-3.
Una multisig richiede un numero minimo di autorizzazioni rispetto all’insieme delle chiavi disponibili. Nel caso 2-su-3, una sola chiave non basta; due possono raggiungere la soglia. Il vantaggio rispetto a una firma singola è reale, ma la tolleranza al compromesso resta limitata.
Hacken segnala inoltre l’assenza di un periodo di ritardo incorporato per alcune azioni sensibili. Un timelock non impedisce da solo un abuso, ma può creare tempo per rilevare una proposta, avvisare operatori e utenti o applicare misure di emergenza prima dell’esecuzione.
Quali rischi protegge una chiave amministrativa
I token centralizzati possono includere funzioni per emissione, blocco, aggiornamento o gestione operativa. Non tutte le chiavi hanno necessariamente gli stessi poteri e non ogni funzione equivale a trasferire liberamente i saldi degli utenti. Per valutare l’impatto bisogna leggere contratto, ruoli e procedure fuori dalla blockchain.
Il rischio di una chiave privilegiata è diverso dal rischio delle riserve. Un contratto può essere amministrato con una soglia debole mentre gli asset di copertura risultano sufficienti; oppure può avere controlli tecnici robusti e un problema finanziario. La nostra guida al rischio controparte delle stablecoin separa queste dimensioni.
Anche il congelamento legittimo richiesto da autorità e il controllo malevolo non sono la stessa cosa. La stessa capacità tecnica può servire a più scopi, ma chi detiene USDT deve sapere che l’asset non offre l’immutabilità amministrativa di un token privo di issuer.
Perché due chiavi non significano automaticamente furto
Per trasformare il rischio in incidente servirebbe compromettere o usare impropriamente almeno la soglia necessaria, superare eventuali controlli organizzativi e inviare una transazione valida. La configurazione on-chain non descrive da sola custodia fisica, segregazione dei firmatari, hardware usato o monitoraggio interno.
Dire che “bastano due chiavi” identifica quindi un punto di concentrazione, non dimostra che le chiavi siano accessibili allo stesso aggressore. Al contrario, ignorare la soglia perché non si è ancora verificato un attacco confonderebbe assenza di incidente con assenza di rischio.
La valutazione completa ha migliorato il rating USDT di Bluechip da D a C. Questo passaggio mostra che il rapporto non è una bocciatura assoluta: combina aspetti finanziari e tecnici, riconoscendo miglioramenti ma mantenendo criticità da correggere.
Tron non rappresenta tutte le emissioni USDT
La configurazione può cambiare da una blockchain all’altra. Hacken indica un insieme di sei chiavi e soglia 3-su-6 per Ethereum, Avalanche e Celo, mentre Solana utilizza un modello tecnico differente. Non è corretto estendere il 2-su-3 di Tron a ogni USDT in circolazione.
Chi usa la stablecoin dovrebbe verificare rete e contratto, non soltanto il ticker mostrato nel wallet. Il confronto USDT contro USDC ricorda che issuer, riserve, poteri di blocco e disponibilità sulle reti sono parti distinte della scelta.
Anche spostare USDT da Tron a un’altra chain introduce bridge, exchange e rischio operativo. Non è una soluzione automatica: la soglia amministrativa può cambiare, ma l’utente aggiunge costi e dipendenze che devono essere valutati.
Cosa potrebbe migliorare il modello
Una soglia più alta e un numero maggiore di firmatari possono ridurre il rischio che poche credenziali bastino, purché chiavi e persone siano realmente indipendenti. Aumentare soltanto i numeri senza separare dispositivi, organizzazioni e procedure può produrre una sicurezza apparente.
Timelock, monitoraggio pubblico, avvisi leggibili e documentazione delle funzioni privilegiate renderebbero più osservabili le modifiche. Servono anche procedure di emergenza: un ritardo è utile soltanto se qualcuno rileva l’evento e dispone di una risposta praticabile.
Audit del codice e attestazioni periodiche non sostituiscono la trasparenza operativa. Un controllo puntuale può fotografare lo stato di un contratto, mentre rotazioni delle chiavi e aggiornamenti successivi modificano il rischio. Per questo metriche e rating devono indicare data e perimetro.
Cosa può controllare concretamente un utente
Un detentore non può verificare la sicurezza fisica dei firmatari, ma può identificare rete, contratto ufficiale, issuer e intermediario. Può evitare versioni non ufficiali del token, bridge sconosciuti e rendimenti che aggiungono lending o rischio smart contract al rischio originario di USDT.
Per somme operative è utile conoscere la possibilità di blocco e i tempi di riscatto del servizio utilizzato. Per la liquidità di lungo periodo bisogna valutare concentrazione per issuer, chain e custode, senza assumere che il valore stabile elimini il rischio di accesso.
| Fatto | Cosa significa |
|---|---|
| Multisig 2-su-3 su Tron | Due autorizzazioni raggiungono la soglia privilegiata |
| Una chiave compromessa | Non basta da sola secondo la configurazione descritta |
| Nessun timelock | Meno tempo on-chain per reagire |
| Rating da D a C | Valutazione migliorata, con rischi ancora presenti |
Il rischio di USDT su Tron non è quindi una prova di collasso imminente. È una concentrazione di autorità che merita disclosure, difese più robuste e monitoraggio continuo. Per l’utente, la scelta informata nasce dal sommare rischio dell’issuer, della rete, del contratto e del servizio di custodia, non dal solo prezzo vicino a un dollaro.
