Temuan Kritis: $91,3 Miliar USDT Hanya Terlindung Dua Kunci
Firma keamanan blockchain Hacken memberikan skor keamanan siber Tether hanya 3,3 dari 10 dalam penilaian terbaru yang dipublikasikan CoinDesk pada 4 September 2026. Temuan paling mengkhawatirkan: sekitar $91,3 miliar USDT yang beredar di jaringan Tron — mewakili separuh dari total supply USDT $183 miliar per attestasi BDO Q2 2026 — dikendalikan oleh smart contract yang hanya memerlukan dua dari tiga kunci penandatangan (2-of-3 multisig) tanpa timelock, tanpa jendela pembatalan, dan tanpa mekanisme pembalikan.
Artinya, siapa pun yang menguasai dua kunci tersebut bisa segera memintak (mint) USDT baru, membekukan atau menghapus alamat, mengalihkan kepemilikan kontrak, mengenakan biaya transfer, atau mengarahkan saldo — semua tanpa menyentuh cadangan, hubungan perbankan, atau audit KPMG. Hacken menegaskan tidak ada bukti kunci dikompromikan atau insiden aktif, namun risiko bersifat arsitektural dan permanen hingga diubah.
Perbedaan Fundamental: Solvabilitas Bukan Keamanan
Pada siklus penilaian yang sama, agensi rating Bluechip menaikkan grade korporat Tether dari D ke C, didorong audit KPMG yang menunjukkan cadangan melebihi kewajiban sebesar $6,8 miliar per 31 Desember 2025. Namun, attestasi BDO Q2 2026 menempatkan buffer saat ini sekitar $4,11 miliar per 30 Juni 2026 — kompresi 40% dalam enam bulan.
Leo Fan, CEO Cysic.xyz dan mantan lead ketahanan kuantum di Algorand, merangkum kesenjangan ini: "Audit KPMG dan sistem skor baru, untungnya bagi Tether, menggerakkan jarum, tapi arsitekturnya tidak berubah." Fan menambahkan $91 miliar "masih duduk di belakang dua kunci tanpa timelock dan tidak ada yang on-chain tampak menghalangi apa yang bisa dicetak kunci-kunci itu besok."
Keaduan cadangan dan keamanan on-chain adalah ortogonal. Stablecoin dengan cadangan penuh tapi kunci admin terpusat tetap rentan satu serangan social engineering, ancaman insider, atau operasi negara-negara menuju dilusi tak terbatas. Surat pendapat KPMG tidak mengubah apa yang bisa diotorisasi dua kunci penandatangan on-chain.
Permukaan Serangan Meluas ke Multi-Chain
Hacken menemukan Tether menggunakan kembali enam kunci penandatangan yang sama di Ethereum, Avalanche, dan Celo. Kompromi kunci di salah satu chain bisa dimanfaatkan terhadap chain lain. Permukaan serangan tidak terisolasi ke Tron saja.
Kemampuan pembekuan (freeze) sudah terbukti aktif: Tether telah membekukan $42,4 juta USDT per gugatan yang diajukan 31 Agustus 2026 di Southern District of New York, yang mengklaim pembekuan terjadi lebih dari tiga bulan sebelum ada waran. Kemampuan ini hidup, terdokumentasi, dan dibangun ke struktur kontrak yang sama yang ditinjau Hacken. Perbedaan antara pembekuan yang disahkan dan yang tidak sah hanyalah legitimasi pemegang kunci.
Aktor Negara Sudah Menunjukkan Kemampuan Serangan Serupa
Untuk konteks, aktor negara tingkat lanjut sudah menunjukkan kapasitas melanggar institusi yang dianggap kebanyakan orang sebagai tertahan. Multisig 2-of-3 yang menguasai $91 miliar tanpa timelock adalah target, bukan sekadar kategori kerentanan.
Apa yang Perlu Dipantau
Tesis ini menjadi salah jika Tether mempublikasikan implementasi on-chain terverifikasi dari timelock dan skema rotasi kunci dengan penundaan adekuat dan distribusi multi-party yang genuinenya, atau jika pihak ketiga independen menunjukkan bahwa 2-of-3 penandatangan sudah terisolasi hardware, terpisah geografis, dan tunduk pada skema tata kelola yang nyata mengurangi probabilitas kompromi single-event. Hingga bukti itu publik, arsitektur berdiri sebagaimana digambarkan.
Yang perlu dipantau: apakah Bluechip mempublikasikan metodologi lengkap kerangka gabungannya, apakah Hacken merilis penilaian Tether sebagai dokumen mandiri publik, dan apakah tinjauan USDC yang setara menghasilkan skor keamanan siber yang memungkinkan perbandingan langsung. Halaman rating USDT Bluechip adalah referensi live untuk grade gabungan saat ini.
Kutipan Kunci
> "Solvabilitas bukan keamanan. Skor keamanan siber 3,3 dari 10 pada kontrak yang mengatur $91 miliar bukan catatan kaki untuk upgrade D-ke-C; itu adalah temuan primer." — Hacken via CoinDesk
> "Audit KPMG dan sistem skor baru, untungnya bagi Tether, menggerakkan jarum, tapi arsitekturnya tidak berubah." — Leo Fan, CEO Cysic.xyz
Data Perbandingan
- **Supply USDT total (Q2 2026)**: ~$183 miliar (BDO attestation) - **USDT di Tron terpapar**: $91,3 miliar (~50% supply) - **Skor keamanan siber Hacken**: 3,3/10 - **Grade korporat Bluechip**: D → C (upgrade) - **Buffer cadangan (Des 2025)**: $6,8 miliar (KPMG) - **Buffer cadangan (Jun 2026)**: $4,11 miliar (BDO) — turun 40% - **Kunci penandatangan digunakan ulang**: 6 kunci di 4 chain (Tron, Ethereum, Avalanche, Celo)
