Una giuria federale di Manhattan ha condannato mercoledì il consulente di cybersecurity Jonathan Spalletta per tutti gli accusi di un atto d'imputazione che contestava frode informatica e riciclaggio di denaro in relazione a due attacchi del 2021 che hanno prosciugato quasi 55 milioni di dollari dall'exchange decentralizzato Uranium Finance. Il caso si è concentrato su una pista di riciclaggio che coinvolgeva 812 ETH che gli accusatori hanno collegato ai fondi rubati. Il verdetto illustra come gli exploit dell'era della finanza decentralizzata del 2021 possano riaffiorare come procedimenti penali anni dopo, con i record di transazioni on-chain che hanno permesso agli accusatori di ricostruire il percorso degli asset rubati.

Il verdetto fa seguito alle accuse rese pubbliche a febbraio 2024 — più di due anni e mezzo dopo l'attacco di aprile — dall'Ufficio del Procuratore degli Stati Uniti per il Distretto Meridionale di New York, che ha accusato Spalletta e suo padre, Robert Spalletta, di aver eseguito gli exploit e aver poi spostato i proventi attraverso trasferimenti di wallet stratificati nel tentativo di occultarne l'origine. All'epoca, gli accusatori descrivevano Jonathan Spalletta come consulente di cybersecurity presso Applied Oblivion, una società co-fondata da suo padre. L'atto d'imputazione citava entrambi gli uomini, mentre il verdetto della giuria riguardava gli accusi contro Jonathan Spalletta.

Uranium Finance era un exchange decentralizzato di tipo automated market maker che operava su Binance Smart Chain, la rete blockchain associata all'exchange Binance, con un token nativo noto come U92. Le piattaforme automated market maker funzionano sulla base di liquidity pool — riserve condivise di token depositati dagli utenti contro cui i trader effettuano scambi — quindi i fondi prosciugati da tali pool provengono direttamente dagli asset che gli utenti vi avevano collocato. La piattaforma era stata colpita da un precedente exploit a febbraio 2021 che aveva prosciugato circa 1,3 milioni di dollari. L'attacco di aprile 2021, di gran lunga maggiore e stimato intorno ai 50 milioni di dollari, ha sfruttato un difetto in un meccanismo di verifica dei saldi durante la migrazione del protocollo alla sua seconda versione, consentendo all'attaccante di prelevare fondi da quasi tutti i liquidity pool dell'exchange. Migrazioni di questo tipo comportano la sostituzione degli smart contract distribuiti di una piattaforma con nuovo codice. Lincidente si è classificato tra i maggiori exploit su Binance Smart Chain in quell'anno.

Parti delle criptovalute rubate sono state convertite in ether durante il passaggio tra i wallet, formando la pista di 812 ETH al centro del processo di Manhattan. Poiché le blockchain pubbliche registrano ogni trasferimento su un registro liberamente consultabile, i punti di conversione lungo un simile percorso possono servire come marcatori di riferimento per gli investigatori che tracciano i fondi attraverso più wallet. Secondo la procedura penale federale, alla condanna segue un'udienza di sentenza separata in cui un giudice determina la pena.

Questo contenuto è stato pubblicato per la prima volta su COINOTAG: https://en.coinotag.com/uranium-finance-hacker-spalletta-convicted-812-eth