Federalna ława przysięgłych na Manhattanie w środę uznała konsultanta ds. cyberbezpieczeństwa Jonathana Spallettę za winnego wszystkich punktów aktu oskarżenia zarzucającego oszustwo komputerowe i pranie pieniędzy w związku z dwoma atakami z 2021 roku, które wyczerpały ze zdecentralizowanej giełdy Uranium Finance niemal 55 milionów dolarów. Sprawa koncentrowała się na śladzie prania obejmującym 812 ETH, które prokuratura powiązała ze skradzionymi środkami. Wyrok ilustruje, jak exploity z ery zdecentralizowanych finansów z 2021 roku mogą po latach wracać jako sprawy karne, a zapisy transakcji on-chain pozwalają prokuratorom odtworzyć drogę skradzionych aktywów.

Wyrok nastąpił po ujawnieniu zarzutów w lutym 2024 roku — ponad dwa i pół roku po ataku z kwietnia — przez biuro prokuratora okręgowego stanu Nowy Jork (Southern District of New York), które zarzuciło Spalletcie i jego ojcu, Robertowi Spalletcie, przeprowadzenie exploitów, a następnie przemieszczanie pozyskanych środków poprzez warstwowe transfery portfeli w celu zatarcia ich pochodzenia. Wówczas prokuratorzy określili Jonathana Spallettę jako konsultanta ds. cyberbezpieczeństwa w Applied Oblivion, firmie współzałożonej przez jego ojca. Akt oskarżenia objął obu mężczyzn, podczas gdy wyrok ławy przysięgłych dotyczył punktów zarzutów przeciwko Jonathanowi Spalletcie.

Uranium Finance była zdecentralizowaną giełdą typu automated market maker działającą na Binance Smart Chain — sieci blockchain powiązanej z giełdą Binance — z natywnym tokenem o nazwie U92. Platformy AMM działają w oparciu o pule płynności — wspólne rezerwyów zdeponowanych przez użytkowników, na których podstawie traderzy dokonują wymian — dlatego środki wyprowadzone z tych pul pochodzą bezpośrednio z aktywów umieszczonych tam przez użytkowników. Platforma została wcześniej zaatakowana w lutym 2021 roku exploitem, który wyczerpał około 1,3 miliona dolarów. Znacznie większy atak z kwietnia 2021 roku, szacowany na około 50 milionów dolarów, wykorzystał wadę mechanizmu weryfikacji sald podczas migracji protokołu do jego drugiej wersji, pozwalając atakującemu wyprowadzić środki z niemal wszystkich pul płynności giełdy. Migracje tego rodzaju polegają na zastąpieniu wdrożonych smart kontraktów platformy nowym kodem. To zdarzenie zaliczało się do największych exploitów na Binance Smart Chain w tamtym roku.

Części skradzionych kryptowalut były wymieniane na ether podczas przemieszczania się między portfelami, tworząc ślad 812 ETH, który był przedmiotem procesu na Manhattanie. Ponieważ publiczne blockchainy rejestrują każdy transfer w otwarcie dostępnym rejestrze, punkty wymiany na takiej trasie mogą służyć jako punkty odniesienia dla śledczych śledzących środki przez wiele portfeli. Zgodnie z federalną procedurą karną po skazaniu następuje odrębne postępowanie w przedmiotu wymiaru kary, w którym sędzia ustala karę.

Ta treść została po raz pierwszy opublikowana na COINOTAG: https://en.coinotag.com/uranium-finance-hacker-spalletta-convicted-812-eth