En avril 2021, une faille dans le code d’une plateforme crypto a permis à un homme de partir avec 53,3 millions de dollars. Il a dépensé une partie de cette somme en cartes Pokémon. Mercredi, un jury new-yorkais a qualifié cet acte de vol.
Jonathan Spalletta, 36 ans, originaire du Maryland, risque jusqu’à 30 ans de prison. Ses avocats ont soutenu qu’il n’avait fait qu’utiliser des outils laissés accessibles à tous sur la plateforme.
La faille qui a rapporté 53 millions de dollars
Uranium Finance était un exchange crypto sans société à sa tête. Un logiciel appelé smart contract détenait les pièces des utilisateurs et les redistribuait selon des règles fixes.
Le 8 avril 2021, Spalletta a découvert une faille dans ces règles. Il l’a exploitée à plusieurs reprises pour encaisser environ 1,4 million de dollars auxquels il n’avait pas droit, a indiqué le ministère de la Justice ici.
Deux semaines plus tard, il l’a décrite par écrit.
« J’ai commis un braquage crypto de 1,5 million de dollars il y a quelques semaines… Il y avait un bug dans un smart contract, et je l’ai exploité… De toute façon, la crypto, ce n’est que de l’argent d’internet factice. »
Les procureurs affirment qu’il a ensuite fait pression sur Uranium pour qu’on le laisse conserver 386 000 dollars en tant que « bug bounty », la récompense pour avoir signalé des failles. Le gouvernement a qualifié cela de mascarade.
Le 28 avril, il a exploité une deuxième faille. Il a vidé environ 53,3 millions de dollars provenant de plusieurs pools, et Uranium a cessé ses activités.
D’un braquage crypto aux cartes Pokémon
Il a d’abord fait transiter l’argent par le biais de Tornado Cash, un service permettant de masquer l’origine des pièces.
Puis il a fait des achats. Un coffret de base Pokémon première édition lui a coûté près de 750 000 dollars, et une boîte de boosters scellée 257 500 dollars.
Un Black Lotus, carte Magic célèbre et très rare, lui a coûté 500 000 dollars. Une pièce romaine commémorant l’assassinat de Jules César, 601 545 dollars.
Il a également déboursé 137 500 dollars pour un morceau de tissu de l’avion des frères Wright qu’avait emporté Neil Armstrong sur la Lune.
Le jury n’a mis qu’environ deux heures à le reconnaître coupable, a rapporté Inner City Press ici. BeInCrypto avait déjà couvert les poursuites initiales en mars.
« Comme le savent les nombreuses victimes de Spalletta, ces paroles sont loin de la réalité », a déclaré le procureur américain Jamie McDonald dans un communiqué.
Les agents ont saisi le Black Lotus et le tissu lunaire à son domicile, ainsi qu’environ 31 millions de dollars en crypto.
La faille de septembre sur Bitget, d’un montant de 350 millions de dollars, se classe comme le plus grand hack de 2026 selon les données de DefiLlama.
Un juge doit désormais fixer la peine de Spalletta.
