Американское жюри признало Jonathan Spalletta, известного в интернете под именами Jspalletta и Cthulhon, виновным в краже более 53 миллионов долларов с децентрализованной платформы Uranium Finance после двух её взломов в апреле 2021 года. Spalletta грозит до 10 лет тюрьмы по обвинению в компьютерном мошенничестве и до 20 лет — по обвинению в отмывании денег.
Две отдельные атаки на смарт-контракты
Uranium Finance была автоматизированным маркет-мейкером, работавшим в сети BNB. Во время первой атаки, 8 апреля 2021 года, Spalletta воспользовался ошибкой в коде смарт-контракта, которая позволяла ему создавать заявки на вывод нулевого количества токенов, вынуждая платформу выплачивать ему незаработанные вознаграждения. В результате из пула ликвидности было выведено около 1,4 миллиона долларов.
Затем он шантажировал платформу, потребовав почти 386 тысяч долларов под видом фиктивного вознаграждения за обнаружение уязвимости в обмен на возврат остальных украденных средств.
Три недели спустя он воспользовался отдельной программной ошибкой в логике проверки транзакций. Система использовала значение 1 000 вместо 10 000, что позволило ему вывести почти 90% активов из пулов ликвидности, внеся взамен сумму, близкую к нулю. Всего он получил около 53,3 миллиона долларов — большую часть активов платформы, которая была вынуждена немедленно закрыться из-за нехватки ликвидности.
Отслеживание средств и возврат их части
Spalletta провёл украденные средства через миксер Tornado Cash и несколько децентрализованных бирж. В декабре 2023 года исследователь криптовалютного мошенничества ZachXBT связал с хакером более 11 200 ETH, выведенных из Tornado Cash; на тот момент их стоимость составляла 25 миллионов долларов.
Средства были потрачены на дорогостоящие предметы коллекционирования, включая 18 запечатанных комплектов карт Alpha Booster для Magic стоимостью около 1,5 миллиона долларов, базовый набор Pokémon первого издания примерно за 750 тысяч долларов и карту Black Lotus из Magic: The Gathering стоимостью около 500 тысяч долларов, а также древнеримскую монету, посвящённую убийству Юлия Цезаря, стоимостью более 601 тысячи долларов.
В феврале 2025 года власти конфисковали эти предметы в доме Spalletta, а также вернули около 31 миллиона долларов в криптовалюте из связанных с ним кошельков.
Почему эта новость важна?
Это дело показывает, что ограниченная ошибка в логике смарт-контракта, например использование неправильного числового знаменателя, может привести к почти полной потере активов децентрализованной финансовой платформы. Оно также демонстрирует, что сокрытие движения средств с помощью миксеров и децентрализованных платформ не обязательно мешает связать переводы с личностью подозреваемого, хотя приговор не меняет того факта, что возврат средств зависит от того, что удаётся фактически установить и конфисковать.
Федеральный прокурор США Jamie McDonald заявил, что преступление нанесло жертвам реальный ущерб и привело к краху криптовалютной платформы, отвергнув попытки преуменьшить значение цифровых средств как «фальшивых денег в интернете».