미국 배심원단은 온라인에서 Jspalletta와 Cthulhon이라는 이름으로 알려진 Jonathan Spalletta가 2021년 4월 두 차례 해킹한 Uranium Finance 탈중앙화 플랫폼에서 5,300만 달러 이상을 훔친 혐의에 대해 유죄 평결을 내렸다. Spalletta는 컴퓨터 사기 혐의로 최대 10년, 자금세탁 혐의로 20년의 형을 받을 수 있다.
스마트 계약을 별도로 두 차례 악용
Uranium Finance는 BNB 체인에서 운영되는 자동화된 마켓 메이커였다. Spalletta는 2021년 4월 8일 첫 공격에서 스마트 계약 코드의 결함을 악용해 토큰 출금 주문을 0의 값으로 발행할 수 있었고, 이로 인해 플랫폼은 지급 의무가 없는 보상을 지급하게 됐다. 그 결과 유동성 풀에서 약 140만 달러가 인출됐다.
그 후 그는 훔친 나머지 자금을 돌려주는 대가로 가짜 버그 바운티라는 명목 아래 약 38만 6,000달러를 요구하며 플랫폼을 협박했다.
3주 뒤에는 거래 검증 로직의 별도 소프트웨어 오류를 악용했다. 시스템이 10,000 대신 1,000이라는 값을 사용하고 있었기 때문에 그는 유동성 풀에 있는 자산의 약 90%를 인출하면서 사실상 0에 가까운 금액만 예치할 수 있었다. 그가 얻은 총액은 약 5,330만 달러에 달했으며, 이는 플랫폼 자산의 대부분이었다. 플랫폼은 유동성 부족으로 즉시 폐쇄될 수밖에 없었다.
자금 추적과 일부 회수
Spalletta는 훔친 암호화폐를 Tornado Cash 믹서와 여러 탈중앙화 거래 플랫폼을 통해 이동시켰다. 암호화폐 사기 조사관 ZachXBT는 2023년 12월 Tornado Cash에서 인출된 11,200개 이상의 ETH를 해커와 연결했으며, 당시 가치는 2,500만 달러였다.
그는 약 150만 달러에 달하는 Magic의 Alpha Booster 카드 미개봉 팩 18개, 약 75만 달러 상당의 초판 기본 Pokémon 세트, 약 50만 달러의 Magic: The Gathering Black Lotus 카드, 그리고 율리우스 카이사르 암살을 기념하는 60만 1,000달러 이상의 고대 로마 동전 등 고가 수집품을 구매하는 데 자금을 사용했다.
당국은 2025년 2월 Spalletta의 자택에서 이러한 수집품을 압수했으며, 그와 연결된 지갑에서 약 3,100만 달러 상당의 암호화폐도 회수했다.
이 소식이 중요한 이유
이 사건은 잘못된 숫자 분모를 사용하는 것처럼 스마트 계약 로직의 제한적인 오류가 탈중앙화 금융 플랫폼 자산의 거의 전부를 잃는 결과로 이어질 수 있음을 보여준다. 또한 믹싱 서비스와 탈중앙화 플랫폼을 통해 자금 흐름을 숨긴다고 해서 거래를 반드시 용의자의 신원과 연결하지 못하게 되는 것은 아니라는 점을 보여준다. 다만 이번 판결이 실제로 특정하고 압수할 수 있는 범위에 따라 자금 회수가 좌우된다는 사실을 바꾸지는 않는다.
미국 연방검사 Jamie McDonald는 이 범죄가 피해자들에게 실질적인 손실을 입히고 암호화폐 플랫폼의 붕괴를 초래했다며, 디지털 자산을 ‘인터넷상의 가짜 돈’으로 치부하는 태도를 일축했다.