米国の陪審は、オンライン上でJspallettaおよびCthulhonの名前を使用していたJonathan Spallettaについて、2021年4月に2度ハッキングした分散型プラットフォームUranium Financeから5,300万ドル超を盗んだとして有罪評決を下した。Spallettaは、コンピューター詐欺の罪で最高10年、マネーロンダリングの罪で最高20年の刑に直面している。
スマートコントラクトを別々に2度悪用
Uranium FinanceはBNBチェーン上で稼働する自動マーケットメーカーだった。Spallettaは最初の攻撃となった2021年4月8日、スマートコントラクトのコードに存在した欠陥を悪用した。この欠陥により、トークンの引き出し額をゼロとする注文を発行でき、プラットフォームに本来支払う義務のない報酬を支払わせることができた。その結果、流動性プールから約140万ドルが引き出された。
その後、盗んだ残りの資金を返還する見返りとして、偽のバグ報奨金の名目で約38万6,000ドルを支払うようプラットフォームを脅迫した。
3週間後、取引検証ロジックに存在する別のプログラム上のエラーを悪用した。システムが10,000ではなく1,000という値を使用していたため、流動性プールに存在する資産の約90％を引き出し、ほぼゼロに相当する額しか入金しないことが可能だった。Spallettaが得た総額は約5,330万ドルに達し、これはプラットフォームの資産の大部分を占めていた。プラットフォームは流動性不足のため、直ちに閉鎖を余儀なくされた。
資金の追跡と一部回収
Spallettaは盗んだ暗号資産を、ミキサーのTornado Cashや複数の分散型取引プラットフォームを経由させた。暗号資産詐欺の調査員ZachXBTは2023年12月、Tornado Cashから引き出された11,200 ETH超（当時の価値で2,500万ドル）がハッカーのものだと関連付けた。
資金は高額な収集品の購入に使われた。その中には、約150万ドル相当のMagicのAlpha Booster未開封パック18個、約75万ドル相当の初版の基本セットのPokémonカード、約50万ドル相当のMagic: The GatheringのBlack Lotusカード、さらにユリウス・カエサル暗殺を記念する60万1,000ドル超相当の古代ローマの硬貨が含まれていた。
当局は2025年2月、Spallettaの自宅からこれらの収集品を押収した。また、Spallettaと関連するウォレットから約3,100万ドル相当の暗号資産を回収した。
なぜこのニュースが重要なのか
この事件は、誤った数値の分母を使用するようなスマートコントラクトのロジック上の限定的なエラーが、分散型金融プラットフォームの資産をほぼ全額失う事態につながり得ることを示している。また、ミキシングサービスや分散型プラットフォームを通じて資金の流れを隠しても、送金を容疑者の身元と結び付けられなくなるとは限らないことも示している。ただし、判決によって、回収できるかどうかは実際に特定して押収できる資金に依存するという事実が変わるわけではない。
米国連邦検事のJamie McDonaldは、この犯罪が被害者に現実の損失をもたらし、暗号資産プラットフォームの崩壊を引き起こしたと述べ、デジタル資産を「インターネット上の偽のお金」として過小評価することを退けた。