Un pirate informatique présumé qui a un jour décrit les actifs numériques comme de la « fausse monnaie internet » est désormais sous la garde des autorités américaines, accusé d'avoir mené une attaque d'une valeur de 53 millions de dollars qui a contribué à la chute d'un échange décentralisé. Selon un expert, cette affaire montre que les tribunaux examinent plus attentivement si les exploits de contrats intelligents peuvent être considérés comme légaux.

Lundi, les autorités américaines ont rendu public un acte d'accusation inculpant Jonathan Spalletta, également connu sous les noms de « Cthulhon » et « Jspalletta », de fraude informatique et de blanchiment d'argent en lien avec deux attaques menées en 2021 contre Uranium Finance, un échange décentralisé. 

Spalletta s'est rendu aux autorités lundi à la suite des accusations, risquant désormais un maximum de 10 ans pour la fraude informatique et 20 ans pour le blanchiment d'argent.

« Voler une plateforme d'échange de cryptomonnaies, c'est voler – l'affirmation selon laquelle « la crypto est différente » ne change rien à cela », a déclaré le procureur américain Jay Clayton dans un communiqué. 

Cette affaire s'inscrit dans un effort plus large visant à s'attaquer aux exploits DeFi qui combinent failles techniques et détournement de fonds.

« L'idée que le « code fait loi » est de plus en plus mise à l'épreuve devant les tribunaux », a déclaré Angela Ang, responsable des politiques et des partenariats stratégiques pour l'Asie-Pacifique chez TRM Labs, à Decrypt. 

« Exploiter les vulnérabilités des contrats intelligents est peut-être techniquement possible, mais cela ne signifie pas que les tribunaux le considéreront comme légalement autorisé — surtout lorsque cela s'accompagne de blanchiment et de dissimulation », a-t-elle ajouté.

L'acte d'accusation allègue que Spalletta a mené une première attaque le 8 avril 2021, exploitant une faille de suivi des récompenses dans les contrats intelligents d'Uranium pour vider à plusieurs reprises un pool de liquidité d'environ 1,4 million de dollars. 

Environ deux semaines plus tard, il a écrit à une autre personne : « J'ai réalisé un hold-up crypto de 1,5 million de dollars... Il y avait un bug dans un contrat intelligent, et je l'ai exploité... La crypto n'est de toute façon que de la fausse monnaie internet. »

Les autorités affirment qu'il a ensuite restitué la plupart des fonds volés après avoir négocié avec la plateforme, mais qu'il a conservé environ 386 000 dollars dans le cadre de ce que les procureurs décrivent comme un arrangement de « bug bounty » frauduleux.

Le 28 avril, il aurait exploité une autre faille sur 26 pools de liquidité, obtenant environ 53,3 millions de dollars en cryptomonnaies et rendant Uranium Finance incapable de poursuivre ses activités.

Entre avril 2021 et novembre 2023, Spalletta aurait fait transiter environ 26 millions de dollars via Tornado Cash, déplaçant des fonds à travers plusieurs blockchains et portefeuilles pour en dissimuler l'origine. 

Le détective on-chain ZachXBT avait précédemment retracé la piste du blanchiment dans un rapport de décembre 2023, identifiant comment l'ETH volé avait été retiré du mixeur et acheminé via des courtiers pour acheter des objets de collection de grande valeur.

Ces objets de collection comprenaient de rares cartes Magic et Pokémon, une pièce de monnaie de l'époque de Jules César, et un artefact des frères Wright transporté plus tard sur la lune par Neil Armstrong, selon l'acte d'accusation.

En février dernier, les forces de l'ordre ont également saisi environ 31 millions de dollars en cryptomonnaies que les autorités ont déclaré être liés au stratagème présumé.

Interrogée sur la question de savoir si des audits plus stricts ou une assurance auraient pu empêcher l'effondrement de la plateforme, Ang a déclaré que « des mécanismes d'audit et d'assurance plus robustes peuvent réduire la probabilité et l'impact des exploits, mais ils ne sont pas une solution miracle. » 

Les organisations ont besoin d'une « défense à plusieurs niveaux », incluant des « audits de sécurité réguliers, des pratiques de codage sécurisées, des contrôles multi-signatures et une forte culture de sécurité, plutôt que de se fier à une seule mesure de protection », a-t-elle ajouté.