Les États-Unis poursuivent le hacker derrière l'exploitation de Uranium Finance d'une valeur de $53 millions

En bref

• Les autorités américaines ont inculpé Jonathan Spalletta pour avoir exploité Uranium Finance, en vidant de dizaines de millions de dollars la société à l’origine de son effondrement.
• Les procureurs affirment qu’il aurait abusé de failles de contrats intelligents, avant de transférer ensuite des fonds via des mixeurs et d’acheter des objets de collection de grande valeur.
• Environ 31 millions de dollars en crypto liés à l’affaire ont été saisis l’année dernière.

Un pirate présumé de crypto qui avait déjà qualifié les actifs numériques de « fausse monnaie internet » se trouve désormais sous la garde des États-Unis, accusé d’avoir mené une attaque de 53 millions de dollars qui a contribué à faire tomber une bourse décentralisée, dans une affaire qu’un expert estime montrer que les tribunaux examinent plus durement la question de savoir si les exploits de contrats intelligents peuvent être traités comme licites.

Les autorités américaines ont, lundi, mis à nu une acte d’accusation visant Jonathan Spalletta, également connu sous les noms « Cthulhon » et « Jspalletta », l’accusant d’escroquerie informatique et de blanchiment d’argent en lien avec deux attaques menées en 2021 contre Uranium Finance, une bourse décentralisée.

Spalletta s’est rendu aux autorités lundi à la suite des accusations, et risque désormais jusqu’à 10 ans au titre du chef d’escroquerie informatique et 20 ans pour l’infraction de blanchiment d’argent.



« Voler sur une bourse crypto, c’est voler — l’affirmation selon laquelle “la crypto est différente” ne change rien. » Le procureur américain Jay Clayton a déclaré dans un communiqué.

L’affaire s’inscrit dans un effort plus large visant à lutter contre les exploits DeFi qui combinent des failles techniques avec un mauvais usage des fonds.

« L’idée que “le code est la loi” est de plus en plus mise à l’épreuve devant les tribunaux », a déclaré Angela Ang, directrice politique et partenariats stratégiques pour l’Asie-Pacifique chez TRM Labs, à Decrypt.

« Exploiter des vulnérabilités de contrats intelligents peut être techniquement possible, mais cela ne signifie pas que les tribunaux y verront une autorisation légale — surtout lorsqu’il s’agit d’un montage assorti de blanchiment et de dissimulation », a-t-elle ajouté.

L’acte d’accusation allègue que Spalletta a mené une première attaque le 8 avril 2021, en exploitant un bug de suivi des récompenses dans les contrats intelligents d’Uranium afin de vider de manière répétée un pool de liquidité d’environ 1,4 million de dollars.

Environ deux semaines plus tard, il a écrit à une autre personne : « J’ai fait un vol de crypto de 1,5MM… Il y avait un bug dans un contrat intelligent, et je l’ai exploité… De toute façon, la crypto, c’est toute de la fausse monnaie internet. »

Les autorités indiquent qu’il a ensuite restitué la majeure partie des fonds dérobés après avoir négocié avec la plateforme, mais qu’il a conservé environ 386 000 dollars, dans ce que les procureurs décrivent comme un arrangement fictif de type « bug bounty ».

Le 28 avril, il aurait exploité une autre faille sur 26 pools de liquidité, obtenant environ 53,3 millions de dollars en crypto et laissant Uranium Finance incapable de continuer à fonctionner.

Entre avril 2021 et novembre 2023, Spalletta aurait acheminé environ 26 millions de dollars via Tornado Cash, en déplaçant des fonds entre plusieurs blockchains et portefeuilles afin d’en masquer l’origine.

Le détective onchain ZachXBT avait auparavant retracé la piste de blanchiment dans un rapport de décembre 2023, identifiant comment l’ETH volé a été retiré du mixeur et acheminé via des courtiers pour acheter des objets de collection de grande valeur.

Les objets de collection comprenaient de rares cartes Magic et Pokémon, une pièce datant de l’époque de Jules César, et un artefact des frères Wright, ensuite transporté vers la Lune par Neil Armstrong, selon l’acte d’accusation.

En février dernier, les forces de l’ordre ont également saisi de la crypto d’une valeur d’environ 31 millions de dollars que les autorités disent liée au stratagème présumé.

Lorsqu’on lui a demandé si un audit plus strict ou une assurance auraient pu empêcher l’effondrement de la plateforme, Ang a déclaré que « des mécanismes d’audit et d’assurance plus solides peuvent réduire la probabilité et l’impact des exploits, mais ce ne sont pas une solution miracle. »

Les organisations ont besoin d’une « défense à plusieurs niveaux », incluant « des audits de sécurité réguliers, des pratiques de codage sécurisé, des contrôles à multi-signatures et une forte culture de sécurité, plutôt que de se reposer sur une seule mesure de protection », a-t-elle ajouté.

Newsletter Daily Debrief

Commencez chaque jour avec les principaux sujets d’actualité du moment, plus des reportages originaux, un podcast, des vidéos et plus encore.

Votre e-mail

Obtenez-le !

Obtenez-le !