Um suposto hacker de criptoativos que uma vez descreveu ativos digitais como “dinheiro falso da internet” está agora sob custódia nos EUA, acusado de realizar um exploit de US$ 53 milhões que ajudou a derrubar uma exchange descentralizada, em um caso que, segundo um especialista, mostra que os tribunais estão analisando mais rigorosamente se exploits de contratos inteligentes podem ser tratados como lícitos.

Autoridades dos EUA revelaram na segunda-feira uma acusação formal contra Jonathan Spalletta, também conhecido como “Cthulhon” e “Jspalletta”, por fraude informática e lavagem de dinheiro em conexão com dois ataques em 2021 à Uranium Finance, uma exchange descentralizada. 

Spalletta se entregou às autoridades na segunda-feira após as acusações, enfrentando agora uma pena máxima de 10 anos pela acusação de fraude informática e 20 anos pela acusação de lavagem de dinheiro.

“Roubar de uma exchange de criptoativos é roubar — a afirmação de que ‘cripto é diferente’ não muda isso.” disse o Procurador dos EUA Jay Clayton em um comunicado. 

O caso se encaixa em um esforço mais amplo para abordar exploits de DeFi que combinam brechas técnicas com uso indevido de fundos.

“A ideia de que ‘código é lei’ está sendo cada vez mais testada nos tribunais”, disse Angela Ang, chefe de política e parcerias estratégicas para a Ásia-Pacífico na TRM Labs, ao Decrypt. 

“Explorar vulnerabilidades de contratos inteligentes pode ser tecnicamente possível, mas isso não significa que os tribunais o considerarão legalmente permissível — especialmente quando combinado com lavagem e ocultação”, acrescentou ela.

A acusação formal alega que Spalletta realizou um primeiro ataque em 8 de abril de 2021, explorando um bug de rastreamento de recompensas nos contratos inteligentes da Uranium para drenar repetidamente um pool de liquidez de aproximadamente US$ 1,4 milhão. 

Cerca de duas semanas depois, ele escreveu para outra pessoa: “Eu fiz um roubo de criptoativos de US$ 1,5 milhão… Havia um bug em um contrato inteligente, e eu o explorei… Cripto é tudo dinheiro falso da internet de qualquer maneira.”

As autoridades dizem que ele mais tarde devolveu a maior parte dos fundos roubados após negociar com a plataforma, mas reteve cerca de US$ 386.000 sob o que os promotores descrevem como um arranjo fraudulento de “recompensa por bug”.

Em 28 de abril, ele supostamente explorou outra falha em 26 pools de liquidez, obtendo cerca de US$ 53,3 milhões em criptoativos e deixando a Uranium Finance incapaz de continuar operando.

Entre abril de 2021 e novembro de 2023, Spalletta supostamente canalizou cerca de US$ 26 milhões através do Tornado Cash, movendo fundos por múltiplas blockchains e carteiras para obscurecer sua origem. 

O detetive on-chain ZachXBT havia rastreado anteriormente a trilha de lavagem em um relatório de dezembro de 2023, identificando como o ETH roubado foi retirado do mixer e roteado através de corretores para comprar colecionáveis de alto valor.

Os colecionáveis incluíam cartas raras de Magic e Pokémon, uma moeda da era de Júlio César e um artefato dos irmãos Wright levado mais tarde à lua por Neil Armstrong, de acordo com a acusação formal.

Em fevereiro passado, a aplicação da lei também apreendeu criptoativos no valor de cerca de US$ 31 milhões que as autoridades dizem estar ligados ao suposto esquema.

Quando questionada se auditorias mais rigorosas ou seguros poderiam ter evitado o colapso da plataforma, Ang disse que “Mecanismos de auditoria e seguro mais fortes podem reduzir a probabilidade e o impacto de exploits, mas não são uma bala de prata.” 

As organizações precisam de uma “defesa multicamadas”, incluindo “auditorias de segurança regulares, práticas de codificação seguras, controles de múltiplas assinaturas e uma forte cultura de segurança, em vez de depender de uma única salvaguarda”, acrescentou ela.