Tether : 91 Md$ d’USDT dépendent d’un multisig 2-sur-3

Tether vient d’obtenir une amélioration de sa note chez Bluechip, de D à C, après son premier audit financier complet réalisé par KPMG U.S. Pourtant, l’examen technique mené par Hacken soulève un autre problème : environ 91,3 milliards de dollars d’USDT sur Tron dépendent d’un système multisignature où deux clés sur trois suffisent pour exercer les principaux pouvoirs administratifs du contrat. Aucun piratage ni aucune compromission de clé n’a été détecté. Le risque identifié porte sur l’architecture elle-même, avec une note de cybersécurité de 3,3 sur 10 attribuée par Hacken.

Tether gagne enfin un cran chez Bluechip

L’amélioration financière est réelle. Bluechip attribue désormais une note C à USDT, après avoir maintenu pendant plusieurs années le stablecoin en catégorie D. Le changement est daté du 3 septembre 2026.

Cette évolution répond précisément à l’une des critiques historiques adressées à Tether. Bref Crypto avait encore souligné en avril l’absence d’un audit financier complet. Depuis, l’entreprise a franchi cette étape.

Le 13 août, Tether a annoncé que KPMG U.S. avait audité les états financiers 2025 de Tether International S.A. de C.V. et délivré une opinion sans réserve. Selon l’entreprise, l’audit couvre le bilan, les flux de trésorerie, les transactions, les systèmes, les valorisations, les contreparties et les pièces justificatives.

KPMG aurait même procédé au comptage et à l’inspection physique de chaque lingot d’or détenu par l’entité auditée. Les états financiers font apparaître 6,814 milliards de dollars de réserves au-delà des passifs au 31 décembre 2025, selon Tether.

Ce n’est plus une simple attestation ponctuelle des réserves. Un audit complet examine un ensemble beaucoup plus large de comptes et de contrôles.

Pour Tether, c’est une avancée institutionnelle importante.

Pas encore un blanc-seing.

L’audit KPMG ne répond pas au risque des clés

C’est précisément là que l’analyse de Bluechip change de dimension.

Le 25 août, Bluechip a annoncé un partenariat avec Hacken afin d’intégrer le risque technique à son cadre SMIDGE. Jusqu’alors, les stablecoins étaient surtout évalués en fonction de leurs réserves, de leur gestion, de leur gouvernance et de leur environnement réglementaire.

Or un stablecoin peut disposer de 100 dollars d’actifs pour 100 dollars de tokens et rester vulnérable si son contrat permet à un attaquant de créer arbitrairement de nouveaux tokens.

Hacken examine donc désormais la fiabilité des smart contracts, l’intégrité de l’offre, les clés administratives, les bridges, les oracles et certaines infrastructures hors chaîne.

USDT est le premier grand cas où les deux lectures se confrontent aussi clairement.

Financièrement, Tether s’améliore grâce à KPMG.

Techniquement, Hacken lui attribue seulement 3,3/10. L’un des principaux motifs concerne l’administration du contrat USDT sur Tron, où se trouve environ la moitié de l’offre du stablecoin.

Il ne faut donc pas mélanger les deux diagnostics.

L’audit KPMG demande essentiellement : les comptes reflètent-ils correctement la situation financière de l’entreprise ?

L’analyse Hacken pose une autre question : que se passerait-il si les mécanismes permettant d’administrer les tokens étaient compromis ?

Deux problèmes totalement différents.

Deux clés peuvent administrer environ 91 milliards $ d’USDT

Sur Tron, le contrat étudié fonctionne avec un multisig 2-sur-3.

Un multisig exige plusieurs signatures pour autoriser une opération sensible. Ici, trois clés participent au dispositif et deux signatures suffisent pour agir. Cela évite qu’une seule clé puisse décider seule. Tether présente d’ailleurs publiquement le multisig comme une protection contre le risque qu’une personne unique constitue un point de défaillance.

Hacken considère néanmoins le seuil insuffisant au regard des pouvoirs concernés et de la somme en jeu.

L’analyse porte sur environ 91,3 milliards de dollars d’USDT sur Tron. Bluechip évaluait l’ensemble de la capitalisation d’USDT à 183,4 milliards de dollars le 7 septembre. Cela représente pratiquement la moitié de tous les USDT en circulation.

Une précision est indispensable : ces 91,3 milliards ne sont pas stockés dans un wallet contrôlé par deux clés.

Les utilisateurs conservent leurs USDT dans leurs propres adresses.

Ce que le multisig contrôle, c’est l’administration du contrat qui crée et gère l’USDT sur Tron.

La différence est énorme.

Une compromission ne donnerait pas directement les clés privées de millions d’utilisateurs à un pirate. Elle pourrait en revanche lui donner des pouvoirs administratifs suffisamment larges pour modifier profondément le fonctionnement de l’actif.

C’est précisément ce scénario que Hacken considère comme insuffisamment compartimenté.

Mint, gel et propriété du contrat sont concernés

Que permettent concrètement ces droits ?

Selon Hacken, deux clés compromises pourraient servir à changer le propriétaire du contrat, ce qui pourrait exclure les signataires légitimes de Tether. L’attaquant disposerait ensuite de fonctions permettant notamment de créer de nouveaux USDT, de suspendre ou reprendre certains transferts, de geler des adresses ou de modifier certains paramètres administratifs.

Il ne s’agit toujours pas d’une faille actuellement exploitée.

Hacken n’a découvert aucune preuve de clés compromises et aucun incident en cours. La distinction est essentielle : l’étude décrit ce qu’une compromission suffisamment grave rendrait possible, pas quelque chose qui se serait produit.

Le problème vient également de l’absence de timelock.

Un timelock impose un délai entre la validation d’une décision administrative sensible et son exécution. Par exemple, une modification pourrait être annoncée on-chain et ne devenir effective que plusieurs heures plus tard. L’équipe aurait alors éventuellement le temps de constater une opération anormale et d’intervenir.

D’après Hacken, le déploiement Tron étudié ne possède ni ce délai intégré, ni mécanisme d’annulation fiable permettant de bloquer une modification une fois correctement signée.

Avec 100 millions de dollars, cette architecture aurait déjà mérité une discussion.

Avec environ 91 milliards, l’échelle change complètement.

Et Tron n’est pas un réseau secondaire pour Tether : fin juillet, Tron Inc. indiquait déjà héberger environ 90,3 milliards de dollars de TRC-20 USDT, soit 47,7 % de l’offre de l’époque.

Le contrat ne vérifie pas les réserves avant de créer des USDT

Hacken pointe un deuxième élément moins visible : le contrat lui-même ne sait pas combien Tether possède réellement en réserves.

Aucun mécanisme automatique de proof of reserve ne relie les actifs financiers détenus hors chaîne au processus de création des tokens. Aucun plafond on-chain n’empêche non plus une émission au-delà d’un montant prédéterminé.

En fonctionnement normal, cela n’a rien d’étonnant.

Lorsque Tether reçoit des fonds d’un client institutionnel, l’entreprise peut autoriser la création d’USDT. Une partie des tokens peut également être créée à l’avance et conservée dans la trésorerie comme « authorized but not issued » avant sa mise en circulation. Tether explique que ces unités ne sont alors pas comptabilisées dans la capitalisation jusqu’à leur émission effective.

Le système repose donc sur les contrôles internes de Tether et sur l’intégrité de ses signataires.

C’est précisément cette confiance opérationnelle que Hacken mesure.

Un pirate qui s’emparerait des droits administratifs n’aurait pas besoin de déposer 10 milliards de dollars auprès de Tether pour créer 10 milliards d’USDT : le smart contract ne consulterait pas automatiquement un registre bancaire avant d’exécuter l’ordre.

Les 6,8 milliards de dollars de coussin financier vérifiés dans les comptes 2025 ne corrigent donc pas ce risque.

Des réserves solides protègent contre un problème financier.

Elles ne peuvent pas empêcher une clé volée de signer une transaction.

Les mêmes clés apparaissent sur plusieurs réseaux

Le diagnostic ne s’arrête pas à Tron.

Hacken affirme que Tether réutilise les mêmes six clés de signature sur Ethereum, Avalanche et Celo. Selon l’auditeur, une compromission de clés utilisées pour administrer un déploiement pourrait ainsi avoir des implications au-delà de la blockchain initialement visée.

C’est un principe classique en cybersécurité : compartimenter limite le rayon d’impact d’un incident.

Si chaque réseau possède des secrets indépendants, voler les clés d’un environnement ne donne pas nécessairement accès au suivant. Réutiliser des clés concentre au contraire davantage de responsabilité sur les mêmes éléments.

L’observation prend un relief particulier après un trimestre où les compromissions de clés ont coûté beaucoup plus cher que les bugs classiques de smart contracts.

Selon le rapport de sécurité Q2 2026 de Hacken, 763,9 millions de dollars ont été dérobés dans 67 incidents Web3. Les compromissions de clés, de signataires ou d’infrastructures ont représenté 88,3 % de la valeur perdue, alors que les vulnérabilités de smart contracts, plus nombreuses, n’ont représenté qu’environ 11 %.

Le code n’est donc plus nécessairement le maillon le plus coûteux.

La manière dont les clés privilégiées sont créées, séparées et utilisées devient au moins aussi importante.

Centralisation et vulnérabilité ne veulent pas dire la même chose

Il serait facile d’en déduire que le pouvoir de geler ou créer des USDT constitue automatiquement une « faille ».

Ce serait trop rapide.

Tether est un émetteur centralisé. Les fonctions de gel font partie de son architecture et lui permettent notamment d’intervenir à la demande des autorités contre certaines adresses. La capacité de créer ou brûler des tokens est également indispensable au fonctionnement d’un stablecoin garanti par des réserves hors chaîne.

Le risque soulevé par Hacken se situe ailleurs : combien de contrôles doivent être franchis avant que ces pouvoirs puissent être utilisés ?

Et surtout, que se passe-t-il lorsqu’ils sont utilisés de manière illégitime ?

Bluechip résume aujourd’hui le problème en indiquant qu’un multisig possède des capacités de mint, gel et blacklist sans limite préprogrammée et qu’aucun déploiement ne dispose de timelock pour les actions privilégiées. L’agence mentionne également l’absence de réserve on-chain directement reliée au processus de création.

Cette centralisation a donc deux faces.

Elle permet à Tether de réagir rapidement en cas de fraude, de sanctions ou de fonds volés.

Elle crée aussi un point d’autorité particulièrement puissant qu’il faut sécuriser en conséquence.

Le débat n’est pas vraiment « centralisé ou décentralisé ».

Pour USDT, il est plutôt : la sécurité entourant cette centralisation est-elle proportionnée à 183 milliards de dollars d’encours ?

Le nouveau C de Bluechip reste une note assez moyenne

L’amélioration de D à C ne doit pas non plus être interprétée comme une validation générale de Tether.

Sur le tableau actuel de Bluechip, USDC est classé B+, PYUSD A-, tandis que RLUSD et GUSD obtiennent A. USDT se situe au niveau C, aux côtés de FDUSD.

Une précaution importante s’impose pourtant : le B+ de l’USDC n’est pas directement comparable au nouvel examen technique de l’USDT.

Hacken n’a pas encore achevé une analyse équivalente de Circle sous la nouvelle méthodologie. Le B+ d’USDC a été attribué avec l’ancienne grille de Bluechip, avant l’intégration du facteur cybersécurité de Hacken.

Comparer 3,3/10 pour Tether à une absence de note technique actualisée pour Circle produirait donc une conclusion trompeuse.

Bluechip demande encore deux évolutions principales à Tether pour envisager un passage de C à B- : publier les attestations de réserves mensuellement plutôt que trimestriellement et préciser dans ses conditions un calendrier de remboursement transparent et raisonnable.

La note C reconnaît ainsi les progrès.

Elle conserve en même temps plusieurs réserves financières, opérationnelles et de gouvernance.

L’audit complet lui-même garde une limite de transparence

Il y a d’ailleurs un détail important autour de l’audit KPMG.

Tether a annoncé publiquement l’opinion sans réserve et décrit le travail réalisé par KPMG. Les états financiers audités et le rapport complet de KPMG n’ont toutefois pas été publiés après l’annonce.

Cela ne signifie pas que l’audit n’existe pas.

Cela signifie simplement que le public ne peut pas examiner directement le document complet, ses notes, le périmètre précis retenu et les éventuelles explications comptables.

Un autre chiffre illustre cette limite. Le rapport BDO du 31 décembre 2025 faisait apparaître environ 6,338 milliards de dollars d’actifs au-dessus des passifs, tandis que l’annonce concernant les comptes audités par KPMG évoque 6,814 milliards, soit un écart d’environ 476 millions de dollars pour une même date.

Les méthodes comptables et périmètres peuvent expliquer la différence. Les documents publics disponibles ne permettent simplement pas de la réconcilier complètement.

L’audit constitue donc un progrès net par rapport à la situation décrite auparavant par Bref Crypto dans son analyse critique de Tether.

Il ne rend pas soudainement chaque élément du bilan observable de l’extérieur.

USDT est devenu trop gros pour séparer finance et cybersécurité

La taille de Tether explique finalement pourquoi cette nouvelle méthodologie de Bluechip est intéressante.

USDT représente environ 183 milliards de dollars en circulation et plusieurs dizaines de milliards de volume quotidien. Il est utilisé comme paire de trading, collatéral, moyen de paiement et dollar numérique dans des régions où l’accès à un véritable compte en dollars reste compliqué.

En Afrique, cette position est particulièrement visible. Standard Bank prépare désormais avec plusieurs grandes banques un stablecoin en dollars, précisément sur un terrain où USDT s’est imposé bien avant les institutions financières traditionnelles.

Une faiblesse importante de Tether ne serait donc plus un simple incident concernant un token.

Elle toucherait une infrastructure utilisée par des exchanges, des protocoles, des entreprises et des particuliers à travers de nombreux marchés.

C’est aussi ce qui rend le résultat actuel inhabituel : Tether est financièrement plus crédible qu’il y a quelques mois et techniquement plus questionné au même moment.

Il n’y a aucune contradiction.

KPMG vérifie les comptes. Hacken étudie l’architecture. Bluechip essaie désormais de réunir les deux.

Et ce rapprochement change la manière d’évaluer un stablecoin.

Tether a réglé une vieille question, pas toutes les autres

Pendant des années, la critique de Tether tournait presque toujours autour de la même phrase : « Où sont les réserves ? »

En 2026, cette question devient moins suffisante.

Un premier audit financier complet a finalement été réalisé. KPMG a délivré une opinion sans réserve et Tether annonce un excédent de réserves de 6,814 milliards de dollars à fin 2025. Bluechip l’a reconnu en remontant USDT de D à C.

La discussion se déplace désormais vers l’architecture qui contrôle 183 milliards de dollars de monnaie numérique.

Hacken n’affirme pas que deux hackers possèdent deux clés. Il n’affirme pas que 91 milliards de dollars ont été volés. Il n’a trouvé aucune compromission.

Son constat est plus sobre et probablement plus utile : sur Tron, deux signatures correctement autorisées suffisent à exercer des pouvoirs extrêmement étendus sur le contrat qui gouverne environ la moitié de l’USDT mondial, sans délai automatique permettant de réagir.

Pour un stablecoin de quelques millions de dollars, cela constituerait déjà un choix architectural à examiner.

Pour Tether, l’échelle rend la question beaucoup plus sérieuse.

Le secteur bancaire avance d’ailleurs vers ses propres stablecoins sous des exigences de réserves, de gouvernance et de cybersécurité de plus en plus précises. Les États-Unis et le Royaume-Uni cherchent déjà à rapprocher leurs futurs cadres réglementaires.

Tether a gagné depuis longtemps la bataille de l’usage. L’audit KPMG lui permet maintenant de répondre à une partie des critiques financières accumulées pendant des années.

Le rapport Hacken rappelle simplement que pour une infrastructure de cette taille, être correctement adossée à des réserves n’est qu’une moitié de la sécurité. L’autre moitié consiste à s’assurer que personne ne puisse prendre le contrôle de la machine qui émet les tokens.