Un jury américain a reconnu Jonathan Spalletta, connu en ligne sous les pseudonymes Jspalletta et Cthulhon, coupable d’avoir volé plus de 53 millions de dollars à la plateforme décentralisée Uranium Finance après l’avoir piratée à deux reprises en avril 2021. Spalletta encourt jusqu’à 10 ans de prison pour fraude informatique et 20 ans pour blanchiment d’argent.
Deux exploitations distinctes des contrats intelligents
Uranium Finance était un teneur de marché automatisé fonctionnant sur la blockchain BNB. Lors de la première attaque, le 8 avril 2021, Spalletta a exploité un défaut dans le code d’un contrat intelligent qui lui a permis d’émettre des ordres de retrait d’une valeur nulle en jetons, contraignant ainsi la plateforme à verser des récompenses auxquelles il n’avait pas droit. Cela a entraîné le retrait d’environ 1,4 million de dollars du pool de liquidité.
Il a ensuite fait chanter la plateforme pour obtenir près de 386 000 dollars sous la forme d’une fausse prime de divulgation de vulnérabilité, en échange de la restitution du reste des fonds volés.
Trois semaines plus tard, il a exploité une erreur logicielle distincte dans la logique de vérification des transactions. Le système utilisait la valeur 1 000 au lieu de 10 000, ce qui lui a permis de retirer près de 90 % des actifs présents dans les pools de liquidité, tout en y déposant une valeur presque nulle. Le montant total obtenu s’élevait à environ 53,3 millions de dollars, soit la majeure partie des avoirs de la plateforme, qui a été contrainte de fermer immédiatement en raison du manque de liquidités.
Traçage des fonds et récupération d’une partie des avoirs
Spalletta a fait transiter les cryptomonnaies volées par le mixeur Tornado Cash et plusieurs plateformes d’échange décentralisées. En décembre 2023, l’enquêteur spécialisé dans la fraude aux cryptomonnaies ZachXBT a relié au pirate plus de 11 200 ETH retirés de Tornado Cash, dont la valeur s’élevait alors à 25 millions de dollars.
Les fonds ont servi à acheter des objets de grande valeur, notamment 18 boîtes scellées de cartes Alpha Booster de Magic d’une valeur d’environ 1,5 million de dollars, une collection de base Pokémon de première édition estimée à près de 750 000 dollars, une carte Black Lotus de Magic: The Gathering valant environ 500 000 dollars, ainsi qu’une ancienne monnaie romaine commémorant l’assassinat de Jules César, achetée pour plus de 601 000 dollars.
Les autorités ont saisi ces objets au domicile de Spalletta en février 2025 et récupéré environ 31 millions de dollars en cryptomonnaies provenant de portefeuilles qui lui étaient associés.
Pourquoi cette affaire est-elle importante ?
L’affaire montre qu’une erreur limitée dans la logique d’un contrat intelligent, comme l’utilisation d’un mauvais dénominateur numérique, peut se transformer en une perte quasi totale des actifs d’une plateforme financière décentralisée. Elle montre également que dissimuler le trajet des fonds au moyen de services de mixage et de plateformes décentralisées n’empêche pas nécessairement de relier les transferts à l’identité d’un suspect, même si le verdict ne change pas le fait que la récupération des fonds dépend de ce qui peut effectivement être identifié et saisi.
Le procureur américain Jamie McDonald a déclaré que le crime avait causé des pertes réelles aux victimes et entraîné l’effondrement d’une plateforme de cryptomonnaies, rejetant l’idée de minimiser la valeur des actifs numériques en les qualifiant de « fausse monnaie sur Internet ».