Un jury de Manhattan a reconnu Jonathan Spalletta coupable de fraude informatique et de blanchiment d'argent pour deux piratages commis en 2021 contre l'échange de cryptomonnaies décentralisé Uranium Finance, qui avaient drainé plus de 50 millions de dollars, ont annoncé mercredi des procureurs fédéraux. Le verdict qualifie d'exploit exécuté entièrement au moyen de transactions contre un smart contract — le code auto-exécutant qui règle les échanges sur les plateformes décentralisées — une fraude informatique classique, une qualification que les procureurs eux-mêmes ont mise en avant en annonçant la condamnation.

Spalletta, 36 ans, de Rockville, dans le Maryland, a été inculpé pour ces attaques en mars. Il a été déclaré coupable de toutes les charges après un procès de six jours devant le juge fédéral Jed S. Rakoff et encourt une peine maximale de 10 ans de prison pour fraude informatique et de 20 ans pour blanchiment d'argent, la sentence devant être prononcée ultérieurement devant Rakoff.

Le bureau du procureur des États-Unis pour le district sud de New York a annoncé le verdict dans une publication sur X :

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of the Office and our agency partners have done outstanding work to ensure Spaletta's virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Deux attaques espacées de trois semaines

Lors du premier piratage, le 8 avril 2021, Spalletta a répété une série de transactions avec le smart contract d'Uranium pour retirer des récompenses bien supérieures à celles auxquelles il avait droit, s'emparant d'environ 1,4 million de dollars, selon les procureurs. Il a ensuite fait pression sur l'échange pour conserver environ 386 000 dollars au titre de ce que les procureurs ont qualifié de fausse « bug bounty » — une référence à la pratique du secteur consistant à rémunérer les chercheurs qui divulguent des vulnérabilités de bonne foi — en échange du remboursement du reste.

Deux semaines après ce piratage, il a écrit à une autre personne : « I did a crypto heist of $1.5MM a couple of weeks ago . . . There was a bug in a smart contract, and I exploited it . . . Crypto is all fake internet money anyway. »

Le 28 avril 2021, il a exploité une erreur dans la manière dont le contrat calculait les retraits entre plusieurs pools de liquidité — les réserves partagées de fonds déposés par les utilisateurs sur lesquelles s'appuient les échanges décentralisés pour faciliter les transactions — s'emparant d'environ 53,3 millions de dollars et contraignant Uranium à fermer faute de fonds.

« Les crimes de Spalletta ont fait perdre de l'argent réel à de vraies personnes — plus de 50 millions de dollars — et ont causé l'effondrement d'une plateforme crypto entière », a déclaré la procureure des États-Unis Jamie McDonald.

Black Lotus, cartes Pokémon et une pièce romaine

Spalletta a blanchi les fonds volés par une série de transactions, notamment via le service de mixage de cryptomonnaies Tornado Cash, qui regroupe et mélange des pièces pour en masquer lorigine, avant de dépenser le produit du vol en objets de collection, dont des cartes Magic: The Gathering et Pokémon, selon les procureurs.

Ses achats Magic: The Gathering comprenaient une carte Black Lotus, parmi les plus recherchées du jeu, pour environ 500 000 dollars, ainsi que 18 boosters scellés de cartes Alpha Booster issus de l'édition inaugurale du jeu en 1993 pour environ 1,5 million de dollars. Côté Pokémon, il a payé environ 750 000 dollars pour un set de base complet de première édition issu de la sortie originale du jeu de cartes, et environ 257 500 dollars pour une boîte scellée de boosters de première édition.

Il a également acheté un denier Eid Mar — une pièce romaine frappée en 42 av. J.-C. sous Brutus pour commémorer l'assassinat de Jules César — pour environ 601 545 dollars, ainsi qu'un morceau de tissu de l'avion d'origine des frères Wright que Neil Armstrong avait emporté sur la Lune, pour environ 137 500 dollars.

La Black Lotus, le tissu et certaines des pièces ont été saisis à son domicile dans le cadre d'un mandat de perquisition, selon les procureurs. En février 2025, les autorités ont également saisi des cryptomonnaies issues des piratages d'Uranium d'une valeur d'environ 31 millions de dollars au moment de la saisie — une récupération intervenue malgré l'obscurcissement que l'étape du service de mixage était censée fournir.

Les procureurs ont demandé à toute personne s'estimant victime des piratages d'Uranium de contacter Homeland Security Investigations à l'adresse UraniumVictims@hsi.dhs.gov, une démarche qui signale que les autorités travaillent toujours à identifier toutes les personnes touchées par ces attaques.

L'annonce complète du bureau du procureur des États-Unis pour le district sud de New York est disponible sur le site du ministère de la Justice. La prononciation de la peine devant Rakoff constituera la prochaine étape d'une affaire qui a débuté avec deux attaques espacées de trois semaines au printemps 2021.