Domniemany haker kryptowalutowy, który kiedyś opisał aktywa cyfrowe jako „fałszywe pieniądze internetowe”, jest obecnie w areszcie w USA, oskarżony o przeprowadzenie ataku o wartości 53 milionów dolarów, który przyczynił się do upadku zdecentralizowanej giełdy. Według eksperta, sprawa ta pokazuje, że sądy coraz dokładniej analizują, czy wykorzystanie luk w inteligentnych kontraktach może być traktowane jako zgodne z prawem.
W poniedziałek władze USA odtajniły akt oskarżenia, zarzucając Jonathanowi Spallettcie, znanemu również jako „Cthulhon” i „Jspalletta”, oszustwo komputerowe i pranie pieniędzy w związku z dwoma atakami w 2021 roku na Uranium Finance, zdecentralizowaną giełdę.
Spalletta poddał się władzom w poniedziałek po postawieniu zarzutów, grozi mu teraz maksymalnie 10 lat więzienia za oszustwo komputerowe i 20 lat za pranie pieniędzy.
„Kradzież z giełdy kryptowalut to kradzież – twierdzenie, że ‘krypto jest inne’, tego nie zmienia” – powiedział prokurator USA Jay Clayton w oświadczeniu.
Sprawa ta wpisuje się w szersze działania mające na celu zwalczanie exploitów DeFi, które łączą luki techniczne z niewłaściwym wykorzystaniem środków.
„Idea, że ‘kod jest prawem’, jest coraz częściej testowana w sądach” – powiedziała Decrypt Angela Ang, szefowa działu polityki i partnerstw strategicznych dla regionu Azji i Pacyfiku w TRM Labs.
„Wykorzystywanie luk w inteligentnych kontraktach może być technicznie możliwe, ale to nie oznacza, że sądy uznają to za prawnie dopuszczalne – zwłaszcza w połączeniu z praniem pieniędzy i ukrywaniem pochodzenia środków” – dodała.
Akt oskarżenia zarzuca Spallettcie przeprowadzenie pierwszego ataku 8 kwietnia 2021 roku, wykorzystując błąd w śledzeniu nagród w inteligentnych kontraktach Uranium, aby wielokrotnie opróżnić pulę płynności na kwotę około 1,4 miliona dolarów.
Około dwa tygodnie później napisał do innej osoby: „Zrobiłem napad krypto na 1,5 miliona dolarów… Był błąd w inteligentnym kontrakcie, a ja go wykorzystałem… Krypto to i tak fałszywe pieniądze internetowe.”
Władze twierdzą, że później zwrócił większość skradzionych środków po negocjacjach z platformą, ale zatrzymał około 386 000 dolarów w ramach tego, co prokuratorzy określają jako fikcyjną umowę „bug bounty”.
28 kwietnia rzekomo wykorzystał kolejną lukę w 26 pulach płynności, pozyskując około 53,3 miliona dolarów w kryptowalutach i uniemożliwiając Uranium Finance dalsze działanie.
Między kwietniem 2021 a listopadem 2023 roku, Spalletta rzekomo przepuścił około 26 milionów dolarów przez Tornado Cash, przenosząc środki przez wiele blockchainów i portfeli, aby ukryć ich pochodzenie.
Śledczy on-chain ZachXBT wcześniej prześledził szlak prania pieniędzy w raporcie z grudnia 2023 roku, identyfikując, w jaki sposób skradzione ETH zostało wycofane z miksera i skierowane przez brokerów do zakupu wartościowych przedmiotów kolekcjonerskich.
Przedmioty kolekcjonerskie obejmowały rzadkie karty Magic i Pokémon, monetę z epoki Juliusza Cezara oraz artefakt braci Wright, który później został zabrany na Księżyc przez Neila Armstronga, zgodnie z aktem oskarżenia.
W lutym ubiegłego roku organy ścigania zajęły również kryptowaluty o wartości około 31 milionów dolarów, które według władz były związane z domniemanym schematem.
Zapytana, czy surowsze audyty lub ubezpieczenia mogłyby zapobiec upadkowi platformy, Ang stwierdziła, że „silniejsze mechanizmy audytu i ubezpieczenia mogą zmniejszyć prawdopodobieństwo i wpływ exploitów, ale nie są panaceum”.
Organizacje potrzebują „wielowarstwowej obrony”, w tym „regularnych audytów bezpieczeństwa, bezpiecznych praktyk kodowania, kontroli wielopodpisowych i silnej kultury bezpieczeństwa, zamiast polegać na jednej tylko zabezpieczaniu” – dodała.