Un jury fédéral de Manhattan a condamné Jonathan Spalletta pour fraude informatique et blanchiment d'argent dans le cadre de deux piratages d'avril 2021 ayant drainé plus de 50 millions de dollars de l'échange décentralisé Uranium Finance — un verdict qui rejette l'argument « code is law », ayant parfois protégé les exploiteurs de smart contracts d'une condamnation.

Coupable sur tous les chefs d'accusation

Le bureau du procureur des États-Unis pour le district sud de New York a annoncé mercredi (déclaration) que Spalletta, qui utilisait également les pseudonymes en ligne "Cthulhon" et "Jspalletta", avait été reconnu coupable de tous les chefs de l'acte d'accusation. Le verdict a suivi un procès devant le juge fédéral Jed S. Rakoff que le ministère de la Justice a décrit comme ayant duré six jours.

Les jurés ont rendu leur décision après environ deux heures de délibération, selon Inner City Press, qui a couvert en direct les audiences du tribunal du SDNY.

Le procureur Jamie McDonald a déclaré dans le communiqué du bureau que Spalletta avait à plusieurs reprises "exploité des vulnérabilités dans le code d'une plateforme de cryptomonnaie décentralisée" afin de voler des dizaines de millions de dollars.

Deux attaques en avril 2021

Uranium Finance, un protocole permettant aux utilisateurs de déposer et d'échanger des cryptomonnaies via des pools de liquidité, a été attaqué deux fois par Spalletta en avril 2021. Ces effractions sont survenues au cours d'une année où les exploitations de smart contracts ont drainé à plusieurs reprises des protocoles DeFi dans tout le secteur.

La première attaque a eu lieu le 8 avril 2021, lorsqu'il a utilisé une série d'transactions en bou contre le smart contract d'Uranium pour réclamer bien plus de jetons de récompense qu'il n'y avait droit. Il a répété le processus jusqu'à avoir retiré environ 1,4 million de dollars, épuisant les récompenses du pool.

Une effraction encore plus importante est survenue le 28 avril 2021, lorsque Spalletta a exploité une faille dans le contrat contrôlant le montant qu'il pouvait retirer, visant 26 pools de liquidité distincts. L'annonce initiale des charges du DOJ (document) indiquait que Spalletta s'était enfui avec environ 53,3 millions de dollars lors de cette attaque, laissant Uranium sans les fonds nécessaires pour continuer à fonctionner.

Les procureurs ont indiqué qu'environ deux semaines après la première exploitation, Spalletta avait écrit à une connaissance qu'il avait réalisé "un casse crypto de 1,5 million", expliquant qu'il y avait "un bug dans un smart contract" qu'il avait exploité, avant d'ajouter que "la crypto n'est de toute façon que de faux argent internet".

Après ce premier piratage, selon les procureurs, il a fait pression sur Uranium pour qu'il puisse conserver environ 386 000 dollars en tant que "bug bounty". Le DOJ a qualifié cet arrangement de simulacre offert uniquement pour protéger Spalletta des poursuites.

La défense « code is law » fonctionne-t-elle devant les tribunaux ?

La théorie du "code is law" soutient que tout ce qu'un smart contract permet est permis. Elle a remporté une victoire rare en mai 2025, lorsqu'un juge a suspendu les condamnations pour fraude de l'exploiteur de Mango Markets, Avraham Eisenberg, estimant notamment que la plateforme n'avait aucune condition stipulant que son comportement n'était pas autorisé. Les procureurs font actuellement appel de cette annulation.

Lors d'une audience en mars 2026, un avocat de l'un des "frères MEV", accusés dans un schéma Ethereum de 25 millions de dollars, a cité la décision Eisenberg comme précédent pour leur affaire.

Malgré cet historique, le verdict de culpabilité rapide contre Spalletta suggère qu'au moins un jury n'a pas été sensible à l'idée que l'exploitation d'une faille dans un code on-chain puisse être autre chose que du vol. Avec l'appel des procureurs dans l'affaire Eisenberg en attente et les poursuites contre les frères MEV en cours, la portée de cette théorie devant les tribunaux reste indéterminée.

Comment la crypto blanchie a été dépensée

Les procureurs ont indiqué que Spalletta avait dépensé les fonds blanchis en objets de collection haut de gamme, notamment une carte "Black Lotus" Magic: The Gathering pour environ 500 000 dollars, 18 paquets scellés de cartes Magic Alpha Booster pour environ 1,5 million de dollars, et une boîte scellée de cartes Pokémon Booster de première édition pour environ 257 500 dollars, entre autres articles.

Il a également acheté une pièce romaine "Eid Mar", frappée pour marquer l'assassinat de Jules César, pour environ 601 500 dollars. Les achats comprenaient également, selon les rapports, un morceau de tissu de l'avion original des frères Wright que Neil Armstrong avait emporté sur la Lune.

Les autorités ont saisi environ 31 millions de dollars en cryptomonnaie liée à l'exploitation en février 2025 — près de quatre ans après le premier piratage — et l'acte d'accusation de mars a marqué la première fois qu'un suspect était publiquement nommé cette enquête longtemps dormante. Spalletta, 36 ans, de Rockville, dans le Maryland, s'est rendu lorsque les charges ont été rendues publiques et est désormais passible d'une peine dans une affaire commencée plus de quatre ans avant le verdict.

Source : Cryptopolitan