Ймовірний криптохакер, який колись називав цифрові активи «фальшивими інтернет-грошима», зараз перебуває під вартою в США за звинуваченням у здійсненні експлойту на 53 мільйони доларів, що спричинив крах децентралізованої біржі. Експерти зазначають, що ця справа свідчить про те, що суди ретельніше вивчають, чи можуть експлойти смарт-контрактів розглядатися як законні.

У понеділок влада США оприлюднила обвинувальний акт, висунувши Джонатану Спаллетті, також відомому як «Ктулхун» та «Jspalletta», звинувачення у комп'ютерному шахрайстві та відмиванні грошей у зв'язку з двома атаками на децентралізовану біржу Uranium Finance у 2021 році. 

Спаллетта здався владі у понеділок після висунення звинувачень, тепер йому загрожує до 10 років за комп'ютерне шахрайство та до 20 років за відмивання грошей.

«Викрадення з криптобіржі є крадіжкою — твердження, що «крипто відрізняється», цього не змінює», — заявив прокурор США Джей Клейтон у своїй заяві. 

Ця справа є частиною ширших зусиль, спрямованих на боротьбу з експлойтами в DeFi, які поєднують технічні лазівки з нецільовим використанням коштів.

«Ідея «код — це закон» дедалі частіше перевіряється в суді», —  Анжела Анг, керівник відділу політики та стратегічного партнерства для Азіатсько-Тихоокеанського регіону в TRM Labs, розповіла Decrypt. 

«Використання вразливостей смарт-контрактів може бути технічно можливим, але це не означає, що суди розглядатимуть це як юридично дозволене — особливо у поєднанні з відмиванням грошей та приховуванням», — додала вона.

В обвинувальному акті стверджується, що Спаллетта здійснив першу атаку 8 квітня 2021 року, використовуючи помилку відстеження винагород у смарт-контрактах Uranium для багаторазового виведення коштів з пулу ліквідності на суму близько 1,4 мільйона доларів. 

Приблизно через два тижні він написав іншій особі: «Я здійснив криптограбунок на 1,5 мільйона доларів… У смарт-контракті була помилка, і я нею скористався… Крипто — це все одно фальшиві інтернет-гроші».

Влада заявляє, що пізніше він повернув більшість викрадених коштів після переговорів з платформою, але залишив собі близько 386 000 доларів за схемою, яку прокурори описують як фіктивну угоду про «баг-баунті».

28 квітня він нібито використав ще одну вразливість у 26 пулах ліквідності, отримавши близько 53,3 мільйона доларів у криптоактивах і залишивши Uranium Finance нездатною продовжувати роботу.

Між квітнем 2021 року та листопадом 2023 року Спаллетта нібито провів близько 26 мільйонів доларів через Tornado Cash, переміщуючи кошти через кілька блокчейнів та гаманців, щоб приховати їх походження. 

Ончейн-слідчий ZachXBT раніше відстежив шлях відмивання коштів у звіті за грудень 2023 року, визначивши, як викрадені ETH були виведені з міксера та спрямовані через брокерів для придбання дорогих предметів колекціонування.

Згідно з обвинувальним актом, серед предметів колекціонування були рідкісні карти Magic та Pokémon, монета часів Юлія Цезаря та артефакт братів Райт, який пізніше був доставлений на Місяць Нілом Армстронгом.

Минулого лютого правоохоронні органи також вилучили криптоактиви на суму близько 31 мільйона доларів, які, за словами влади, були пов'язані з передбачуваною схемою.

На запитання, чи могли б суворіший аудит або страхування запобігти краху платформи, Анг відповіла, що «сильніші механізми аудиту та страхування можуть зменшити ймовірність та вплив експлойтів, але вони не є панацеєю». 

Організаціям потрібен «багаторівневий захист», що включає «регулярні аудити безпеки, безпечні практики кодування, багатопідписні контролі та сильну культуру безпеки, а не покладатися на одну лише гарантію», — додала вона.