Un jury fédéral de Manhattan a reconnu mercredi le consultant en cybersécurité Jonathan Spalletta coupable de toutes les charges d'un acte d'accusation pour fraude informatique et blanchiment d'argent en lien avec deux attaques de 2021 qui ont drainé près de 55 millions de dollars de l'échange décentralisé Uranium Finance. L'affaire s'est concentrée sur une piste de blanchiment impliquant 812 ETH que les procureurs ont reliée aux fonds volés. Le verdict illustre comment les exploitations de l'époque de la finance décentralisée en 2021 peuvent resurgir en affaires pénales des années plus tard, les registres de transactions on-chain permettant aux procureurs de reconstituer le parcours des actifs volés.

Le verdict fait suite à des charges rendues publiques en février 2024 — plus de deux ans et demi après l'attaque d'avril — par le bureau du procureur des États-Unis pour le district sud de New York, qui a accusé Spalletta et son père, Robert Spalletta, d'avoir mené les exploitations puis déplacé les produits à travers des transferts de portefeuilles en couches afin de dissimuler leur origine. À l'époque, les procureurs décrivaient Jonathan Spalletta comme consultant en cybersécurité chez Applied Oblivion, une entreprise cofondée par son père. L'acte d'accusation nommait les deux hommes, tandis que le verdict du jury portait sur les charges visant Jonathan Spalletta.

Uranium Finance était un échange décentralisé de type teneur de marché automatisé opérant sur la Binance Smart Chain, le réseau blockchain associé à l'échange Binance, avec un jeton natif connu sous le nom d'U92. Les plateformes de teneur de marché automatisé fonctionnent grâce à des pools de liquidité — des réserves partagées de jetons déposés par les utilisateurs contre lesquels les traders échangent — de sorte que les fonds drainés de ces pools proviennent directement des actifs que les utilisateurs y avaient placés. La plateforme avait déjà été touchée par une exploitation en février 2021 qui avait drainé environ 1,3 million de dollars. L'attaque d'avril 2021, bien plus importante, estimée à environ 50 millions de dollars, ciblait une faille dans un mécanisme de vérification de soldes lors de la migration du protocole vers sa deuxième version, permettant à l'attaquant de retirer des fonds de presque tous les pools de liquidité de l'échange. Les migrations de ce type impliquent de remplacer les smart contracts déployés d'une plateforme par un nouveau code. L'incident figurait parmi les plus grandes exploitations sur la Binance Smart Chain cette année-là.

Des portions de la cryptomonnaie volée ont été converties en ether lors de leurs déplacements entre portefeuilles, formant la piste de 812 ETH en question au procès de Manhattan. Comme les blockchains publiques enregistrent chaque transfert sur un registre librement consultable, les points de conversion le long d'un tel parcours peuvent servir de marqueurs de référence pour les enquêteurs traçant des fonds à travers plusieurs portefeuilles. Selon la procédure pénale fédérale, une condamnation est suivie d'une audience de sentencing distincte au cours de laquelle un juge détermine la peine.

Ce contenu a été publié pour la première fois sur COINOTAG : https://en.coinotag.com/uranium-finance-hacker-spalletta-convicted-812-eth