ABD'li jüri, internette Jspalletta ve Cthulhon adlarıyla tanınan Jonathan Spalletta'yı, Uranium Finance merkeziyetsiz platformunu Nisan 2021'de iki kez hackledikten sonra platformdan 53 milyon dolardan fazla çalmakla suçlu buldu. Spalletta, bilgisayar dolandırıcılığı suçundan 10 yıla, kara para aklama suçundan ise 20 yıla kadar hapis cezasıyla karşı karşıya.
Akıllı sözleşmelerin iki ayrı şekilde istismar edilmesi
Uranium Finance, BNB Chain üzerinde çalışan bir otomatik piyasa yapıcısıydı. Spalletta, 8 Nisan 2021'deki ilk saldırıda, akıllı sözleşme kodundaki bir açıktan yararlandı. Bu açık, token miktarı sıfır olan çekim emirleri oluşturmasını sağladı ve platformu hak edilmemiş ödüller ödemeye zorladı. Bunun sonucunda likidite havuzundan yaklaşık 1,4 milyon dolar çekildi.
Daha sonra platforma şantaj yaparak çalınan paranın geri kalanını iade etme karşılığında sahte bir hata ödülü adı altında yaklaşık 386 bin dolar aldı.
Üç hafta sonra, işlem doğrulama mantığında bulunan ayrı bir yazılım hatasından yararlandı. Sistem 10.000 yerine 1.000 değerini kullanıyordu; bu da neredeyse sıfıra denk gelen bir miktar yatırarak likidite havuzlarındaki varlıkların yaklaşık yüzde 90'ını çekmesine olanak tanıdı. Elde ettiği toplam miktar yaklaşık 53,3 milyon dolara ulaştı. Bu, platformun varlıklarının çoğunluğunu oluşturuyordu ve platform likidite eksikliği nedeniyle derhâl kapanmak zorunda kaldı.
Paraların izinin sürülmesi ve bir bölümünün geri alınması
Spalletta, çalınan kripto paraları Tornado Cash karıştırıcısı ve çeşitli merkeziyetsiz borsa platformları üzerinden aktardı. Kripto para dolandırıcılığı araştırmacısı ZachXBT, Aralık 2023'te Tornado Cash'ten çekilen ve o sırada 25 milyon dolar değerinde olan 11.200'den fazla ETH'yi hackerla ilişkilendirdi.
Paralar, aralarında yaklaşık 1,5 milyon dolar değerindeki 18 mühürlü Magic Alpha Booster kartı paketi, yaklaşık 750 bin dolar değerindeki birinci baskı temel Pokémon koleksiyonu ve yaklaşık 500 bin dolar değerindeki Magic: The Gathering Black Lotus kartının yanı sıra Julius Caesar'ın suikastını anan 601 bin dolardan fazla değerindeki antik bir Roma sikkesinin de bulunduğu yüksek değerli koleksiyon ürünlerine harcandı.
Yetkililer bu koleksiyon ürünlerine Şubat 2025'te Spalletta'nın evinde el koydu ve Spalletta ile bağlantılı cüzdanlardan yaklaşık 31 milyon dolar değerinde kripto para da geri aldı.
Bu haber neden önemli?
Dava, yanlış bir sayısal payda kullanılması gibi akıllı sözleşme mantığındaki sınırlı bir hatanın, merkeziyetsiz bir finans platformunun varlıklarının neredeyse tamamının kaybedilmesine dönüşebileceğini gösteriyor. Ayrıca paraların izini karıştırma hizmetleri ve merkeziyetsiz platformlar üzerinden gizlemenin, transferlerin şüphelinin kimliğiyle ilişkilendirilmesini mutlaka engellemediğini ortaya koyuyor. Bununla birlikte karar, paraların geri alınmasının fiilen tespit edilip el konulabilecek varlıklara bağlı olduğu gerçeğini değiştirmiyor.
ABD Savcısı Jamie McDonald, suçun mağdurlara gerçek zarar verdiğini ve kripto para platformunun çökmesine neden olduğunu belirterek dijital varlıkların “internetteki sahte para” olarak küçümsenmesine karşı çıktı.