Mỹ buộc tội hacker đứng sau vụ khai thác Uranium Finance trị giá $53 triệu

Tóm tắt nhanh

• Các cơ quan chức năng của Mỹ đã buộc tội Jonathan Spalletta vì đã khai thác Uranium Finance, rút đi hàng chục triệu đô la từ công ty mà sau đó dẫn đến sự sụp đổ của công ty.
• Công tố viên cho biết anh ta bị cáo buộc đã lạm dụng các lỗ hổng của hợp đồng thông minh, sau đó chuyển tiền qua các máy trộn và mua các bộ sưu tập có giá trị cao.
• Khoảng 31 triệu đô la tiền mã hóa liên quan đến vụ việc đã bị tịch thu vào năm ngoái.

Một tin tặc tiền mã hóa bị cáo buộc, từng mô tả tài sản kỹ thuật số là “tiền internet giả”, hiện đang bị Mỹ tạm giữ, bị cáo buộc thực hiện một vụ khai thác trị giá 53 triệu đô la đã góp phần làm sụp đổ một sàn giao dịch phi tập trung, trong một vụ án mà một chuyên gia cho rằng cho thấy tòa án đang xem xét kỹ hơn liệu các vụ khai thác hợp đồng thông minh có thể được coi là hợp pháp hay không.

Các cơ quan chức năng của Mỹ hôm thứ Hai đã công bố bản cáo trạng đã được niêm phong, buộc tội Jonathan Spalletta, còn được biết đến với tên “Cthulhon” và “Jspalletta”, về tội gian lận máy tính và rửa tiền liên quan đến hai cuộc tấn công vào Uranium Finance, một sàn giao dịch phi tập trung, trong năm 2021.

Spalletta đã ra trình diện trước cơ quan chức năng vào hôm thứ Hai sau khi bị buộc tội, hiện đối mặt mức án tối đa là 10 năm đối với tội gian lận máy tính và 20 năm đối với tội rửa tiền.



“Cướp tiền từ một sàn giao dịch tiền mã hóa là hành vi trộm cắp—lập luận rằng ‘tiền mã hóa là khác biệt’ không làm thay đổi điều đó.” Luật sư liên bang Jay Clayton của Mỹ cho biết trong một tuyên bố.

Vụ án này nằm trong một nỗ lực rộng hơn nhằm giải quyết các vụ khai thác trong DeFi, khi chúng kết hợp các lỗ hổng kỹ thuật với việc lạm dụng tiền.

“Ý tưởng rằng ‘mã là luật’ ngày càng được đem ra thử thách trước tòa,” Angela Ang, người đứng đầu chính sách và quan hệ đối tác chiến lược tại khu vực châu Á - Thái Bình Dương của TRM Labs, nói với Decrypt.

“Việc khai thác các lỗ hổng của hợp đồng thông minh có thể về mặt kỹ thuật là khả thi, nhưng điều đó không có nghĩa là tòa án sẽ coi nó là được phép về mặt pháp lý—đặc biệt khi đi kèm với rửa tiền và che giấu,” cô nói thêm.

Bản cáo trạng cáo buộc Spalletta đã thực hiện một cuộc tấn công đầu tiên vào ngày 8 tháng 4 năm 2021, khai thác một lỗi theo dõi phần thưởng trong các hợp đồng thông minh của Uranium để rút cạn lặp đi lặp lại một nhóm thanh khoản (liquidity pool) trị giá khoảng 1,4 triệu đô la.

Khoảng hai tuần sau, anh ta đã viết cho một cá nhân khác: “Tôi đã thực hiện một vụ cướp tiền mã hóa trị giá $1.5MM… Có một lỗi trong hợp đồng thông minh, và tôi đã khai thác nó… Dù sao thì tiền mã hóa cũng chỉ là tiền internet giả.”

Các cơ quan chức năng cho biết sau đó anh ta đã hoàn trả phần lớn số tiền bị đánh cắp sau khi thương lượng với nền tảng, nhưng vẫn giữ lại khoảng 386.000 đô la theo mô tả của các công tố viên về một thỏa thuận “bug bounty” giả mạo.

Vào ngày 28 tháng 4, anh ta bị cáo buộc đã khai thác một lỗ hổng khác trên 26 nhóm thanh khoản, thu về khoảng 53,3 triệu đô la tiền mã hóa và khiến Uranium Finance không thể tiếp tục hoạt động.

Từ tháng 4 năm 2021 đến tháng 11 năm 2023, Spalletta bị cáo buộc đã chuyển khoảng 26 triệu đô la qua Tornado Cash, chuyển tiền giữa nhiều blockchain và ví khác nhau để che giấu nguồn gốc của chúng.

Trước đó, nhà điều tra trên chuỗi ZachXBT đã lần theo dấu vết rửa tiền trong một báo cáo vào tháng 12 năm 2023, xác định cách ETH bị đánh cắp được rút khỏi bộ trộn (mixer) và chuyển qua các bên môi giới để mua các bộ sưu tập có giá trị cao.

Các bộ sưu tập bao gồm các thẻ Magic và Pokémon hiếm, một đồng xu thời Julius Caesar, và một hiện vật của anh em nhà Wright—sau đó được Neil Armstrong đưa lên Mặt Trăng—theo bản cáo trạng.

Tháng trước, vào tháng 2 năm ngoái, cơ quan thực thi pháp luật cũng đã tịch thu tiền mã hóa trị giá khoảng 31 triệu đô la mà các cơ quan chức năng cho rằng có liên quan đến âm mưu bị cáo buộc.

Khi được hỏi liệu việc kiểm toán chặt chẽ hơn hoặc bảo hiểm có thể đã ngăn được sự sụp đổ của nền tảng hay không, Ang cho biết rằng “Các cơ chế kiểm toán và bảo hiểm mạnh hơn có thể giảm khả năng xảy ra và tác động của các vụ khai thác, nhưng chúng không phải là giải pháp toàn diện.”

Các tổ chức cần một “hệ thống phòng thủ nhiều lớp,” bao gồm “các cuộc kiểm toán bảo mật định kỳ, các thực hành mã hóa an toàn, các cơ chế kiểm soát chữ ký đa quyền (multi-signature), và một văn hóa bảo mật vững mạnh—thay vì phụ thuộc vào bất kỳ biện pháp bảo vệ đơn lẻ nào,” cô nói thêm.

Bản tin Daily Debrief

Bắt đầu mỗi ngày với các tin tức hàng đầu ngay bây giờ, cùng với các bài viết chuyên sâu gốc, một podcast, video và nhiều hơn nữa.

Email của bạn

Nhận nó!

Nhận nó!