Согласно оценке компании Hacken, около половины оборота USDT – примерно $91.3 млрд в сети Tron – управляется контрактом, административный контроль над которым можно захватить с помощью всего двух подписных ключей.

В архитектуре смарт-контракта отсутствуют механизмы задержки (timelock), окна отмены или возможность отменить изменения. По словам аудитора Hacken Seher Saylık, злоумышленник, получив доступ к двум ключам, сможет изменить владельца контракта, что позволит ему чеканить новые токены, замораживать адреса или перенаправлять балансы без доступа к индивидуальным кошелькам пользователей.

Этот риск касается также сетей Ethereum, Avalanche и Celo, так как Tether использует те же шесть подписных ключей для всех трех сетей. Несмотря на то, что рейтинг Bluechip повысил корпоративный уровень Tether с D до C после финансового аудита KPMG US, техническая архитектура управления активами остается уязвимой.

Лицо, которое вывело примерно 4,000 BTC из федеративного кошелька Liquid Network в прошлые выходные, заявило о готовности вернуть большую часть средств. Условие возврата – подтверждение исправления уязвимости в программном обеспечении.

Согласно сообщениям, хакер, который позиционирует себя как whitehat, осуществлял связь с Blockstream через сообщения Bitcoin OP_RETURN и текст, зашифрованный с помощью PGP. После того, как Blockstream подтвердила в сети, что bridge-узлы были исправлены, процесс возврата активов может начаться.

Ранее Liquid сообщила, что около 4,000 BTC (на тот момент примерно $320 млн) были выведены через SideSwap Peg-out Authorization Key. Однако, по данным сети и SideSwap, сам ключ не был скомпрометирован – проблема заключалась в базе Elements software.