Uranium Finance : le pirate jugé coupable d'un vol de 53 M$

Un jury a reconnu Jonathan Spalletta coupable d'avoir dérobé plus de 53 millions de dollars à Uranium Finance, une plateforme d'échange de cryptomonnaies décentralisée qu'il a attaquée à deux reprises en avril 2021. Ces pertes ont contraint la plateforme à fermer.

Spalletta, 36 ans, originaire du Maryland, utilisait en ligne les pseudonymes "Jspalletta" et "Cthulhon". Il s'est rendu aux forces de l'ordre le 30 mars et a été inculpé de fraude informatique et de blanchiment d'argent. Il encourt désormais jusqu'à 10 ans de prison pour la fraude informatique et jusqu'à 20 ans pour le blanchiment.

Uranium fonctionnait comme un teneur de marché automatisé (AMM) sur la BNB Chain de Binance. Un AMM est un type de plateforme d'échange décentralisée qui s'appuie sur des smart contracts et sur des fonds mis en commun par les utilisateurs, appelés pools de liquidité, pour fixer les prix et exécuter les transactions. Il n'y a ni carnet d'ordres classique ni intermédiaire. Selon les documents judiciaires, Spalletta a soustrait près de 53,3 millions de dollars en cryptomonnaies à la plateforme, qui s'est retrouvée sans les fonds nécessaires pour poursuivre son activité.

Deux attaques, deux erreurs de code

La première attaque a eu lieu le 8 avril 2021. Spalletta avait découvert dans le code du smart contract d'Uranium une faille qui lui permettait de soumettre des ordres de retrait portant sur zéro jeton. La plateforme versait malgré tout des récompenses sur ces demandes, alors qu'il n'y avait aucun droit. Il a ainsi siphonné environ 1,4 million de dollars du pool de liquidité.

Il s'est ensuite servi de l'argent volé comme moyen de pression. Pour en récupérer la majeure partie, Uranium a dû accepter une fausse "prime de bug bounty" de près de 386 000 dollars, prélevée sur les fonds dérobés. Sur le papier, ce paiement ressemblait à une récompense pour le signalement responsable d'une vulnérabilité. En réalité, il s'agissait d'une extorsion.

Environ trois semaines plus tard, Spalletta a frappé de nouveau en exploitant un autre bug. La logique de vérification des transactions d'Uranium utilisait la valeur 1 000 là où elle aurait dû utiliser 10 000. Cette erreur lui a permis de retirer près de 90 % des actifs des pools de liquidité de la plateforme en ne déposant pratiquement rien. Cette seconde attaque a emporté l'essentiel des avoirs d'Uranium, et la plateforme a fermé dans la foulée.

Blanchiment et dépenses

Spalletta a fait transiter les cryptomonnaies volées par Tornado Cash et plusieurs plateformes d'échange décentralisées. Tornado Cash est un mixeur, un service qui regroupe et mélange les transactions en cryptomonnaies pour rendre plus difficile la traçabilité de l'origine des fonds.

Il a dépensé une partie de l'argent en objets de collection rares, notamment :

• 18 boosters scellés de cartes Magic Alpha, pour environ 1,5 million de dollars
• un set de base Pokemon complet en première édition, pour quelque 750 000 dollars
• une carte "Black Lotus" de Magic: The Gathering, pour environ 500 000 dollars
• une pièce de monnaie romaine antique commémorant l'assassinat de Jules César, pour plus de 601 000 dollars

Selon l'accusation, il a également acheté d'autres objets. Les agents ont saisi ces pièces de collection à son domicile en février 2025. Ils ont aussi récupéré environ 31 millions de dollars en cryptomonnaies sur des portefeuilles liés à lui.

La piste était publique depuis un moment déjà avant l'arrestation. En décembre 2023, l'enquêteur spécialisé dans les fraudes crypto ZachXBT avait relié plus de 11 200 ETH retirés de Tornado Cash au pirate d'Uranium. Ces jetons valaient alors 25 millions de dollars.

"De la fausse monnaie d'internet"

En annonçant le verdict mercredi, la procureure fédérale Jamie McDonald a relevé une remarque de Spalletta au sujet de ses crimes.

"Les propres mots de Spalletta témoignent de son indifférence dangereusement dévoyée envers ses victimes et les difficultés qu'il a causées, lorsqu'il dit : 'La crypto, ce n'est de toute façon que de la fausse monnaie d'internet.' Comme le savent les nombreuses victimes de Spalletta, rien n'est plus éloigné de la vérité", a déclaré McDonald.

"Les crimes de Spalletta ont fait perdre de l'argent bien réel à des personnes bien réelles - plus de 50 millions de dollars - et ont provoqué l'effondrement de toute une plateforme crypto."

Notre analyse

Cette affaire montre à quel point de petites erreurs de code dans la DeFi peuvent avoir des conséquences démesurées. Un bug acceptait des retraits de valeur nulle. L'autre tenait à une seule constante fixée à 1 000 au lieu de 10 000. À eux deux, ils ont suffi à vider une plateforme en production. Les smart contracts manipulent directement de l'argent réel et sont difficiles à corriger une fois déployés : les audits de code et une relecture attentive avant la mise en service y comptent donc bien plus que dans de nombreuses applications traditionnelles.

La fausse "prime de bug bounty" mérite aussi qu'on s'y arrête. Payer un attaquant pour qu'il restitue des fonds et appeler cela une prime peut brouiller la frontière entre recherche en sécurité et extorsion. Cette condamnation laisse penser que les procureurs sont prêts à considérer ce genre d'arrangement comme faisant partie du crime. Pour les plateformes, c'est une raison de réfléchir à deux fois avant de négocier dans ces conditions.

Le verdict s'inscrit également dans une tendance : les autorités américaines poursuivent la criminalité liée aux cryptomonnaies des années après les faits. On peut citer la récente condamnation d'un cofondateur d'Empire Market ou la comparution devant un tribunal du développeur présumé du malware pour distributeurs automatiques Ploutus. Les mixeurs comme Tornado Cash n'ont pas empêché les enquêteurs de suivre l'argent dans cette affaire, et l'analyse on-chain menée par des chercheurs indépendants semble y avoir joué un rôle.

Reste à voir quelle peine sera prononcée contre Spalletta, et si une partie des 31 millions de dollars récupérés et des objets de collection saisis finira par être restituée aux utilisateurs d'Uranium.