Een federale jury in Manhattan heeft woensdag de cyberbeveiligingsconsultant Jonathan Spalletta op alle punten van een aanklacht wegens computerfraude en witwassing schuldig bevonden, in verband met twee aanvallen uit 2021 waarbij bijna $55 miljoen werd buitgemaakt bij de gedecentraliseerde beurs Uranium Finance. De zaak draaide om een witwasroute van 812 ETH die het openbaar ministerie aan de gestolen fondsen koppelde. Het vonnis illustreert hoe exploits uit het DeFi-tijdperk van 2021 jaren later kunnen terugkeren als strafzaken, waarbij transactieregistraties op de keten aanklagers in staat stelden de route van de gestolen activa te reconstrueren.

Het vonnis volgt op aanklachten die in februari 2024 werden openbaar gemaakt — ruim tweeënhalf jaar na de aanval in april — door het parket van de Amerikaanse aanklager voor het zuidelijke district van New York, dat Spalletta en zijn vader, Robert Spalletta, ervan beschuldigde de exploits uit te voeren en de opbrengsten vervolgens via gelaagde portemonneetransacties te verplaatsen om de oorsprong te verhullen. Destijds omschreven aanklagers Jonathan Spalletta als cyberbeveiligingsconsultant bij Applied Oblivion, een bedrijf dat door zijn vader werd medeopgericht. De aanklacht noemde beide mannen, terwijl het juryvonnis betrekking had op de punten tegen Jonathan Spalletta.

Uranium Finance was een gedecentraliseerde beurs op basis van een automated market maker die actief was op Binance Smart Chain, het blockchainnetwerk dat verbonden is met de beurs Binance, met een eigen token genaamd U92. Platformen met automated market makers draaien op liquiditeitspools — gedeelde reserves van door gebruikers gestorte tokens waartegen handelaars ruilen — zodat fondsen die uit die pools worden gehaald rechtstreeks afkomstig zijn van de activa die gebruikers er hadden ondergebracht. Het platform werd eerder in februari 2021 getroffen door een exploit waarbij ongeveer $1,3 miljoen werd buitgemaakt. De veel grotere aanval in april 2021, geschat op zo'n $50 miljoen, richtte zich op een fout in een saldocontrolemechanisme tijdens de migratie van het protocol naar zijn tweede versie, waardoor de aanvaller fondsen uit vrijwel alle liquiditeitspools van de beurs kon opnemen. Migraties van dat soort in dat de gedeployde smart contracts van een platform worden vervangen door nieuwe code. Het incident behoorde tot de grootste exploits op Binance Smart Chain dat jaar.

Delen van de gestolen cryptocurrency werden onderweg tussen portemonnees omgezet in ether, wat de route van 812 ETH vormde die aan de orde was in het proces in Manhattan. Omdat openbare blockchains elke overdracht registreren in een openbaar inzichtelijk grootboek, kunnen omrekenpunten langs zo'n route als referentiepunten dienen voor onderzoekers die fondsen volgen over meerdere portemonnees. Volgens de federale strafvordering volgt op een veroordeling een afzonderlijke strafmaatprocedure waarin een rechter de straf bepaalt.

Deze content werd voor het eerst gepubliceerd op COINOTAG: https://en.coinotag.com/uranium-finance-hacker-spalletta-convicted-812-eth