У США визнали винним хакера за викрадення понад $53 млн з Uranium Finance

У штаті Меріленд 36-річного Джонатана Спаллетту визнали винним у викраденні понад $53 млн після двох атак на децентралізовану криптоплатформу Uranium Finance у квітні 2021 року. За даними BleepingComputer, обвинувачений, який також використовував псевдоніми Jspalletta та Cthulhon, здався правоохоронцям 30 березня, після чого йому висунули обвинувачення у комп’ютерному шахрайстві та відмиванні грошей.

Uranium Finance працювала як автоматизований маркетмейкер у мережі BNB Chain. За матеріалами суду, внаслідок атак Спаллетта отримав майже $53,3 млн у криптовалюті — більшість активів платформи. Через нестачу коштів Uranium Finance припинила роботу.

Дві атаки у квітні 2021 року

Під час першої атаки 8 квітня 2021 року Спаллетта, за даними судових документів, вивів близько $1,4 млн із пулу ліквідності. Він скористався помилкою у коді смартконтракту, яка давала змогу надсилати команди на виведення нульових токенів і отримувати винагороди, на які він не мав права.

Після цього він домігся від платформи призначення фіктивної винагороди за виявлення вразливості на суму майже $386 тис. зі викрадених коштів, щоб повернути решту активів. Приблизно за три тижні відбулася друга атака: інша помилка в коді змусила логіку перевірки транзакцій використовувати значення 1000 замість 10 000. Це дозволило вивести близько 90% активів пулів ліквідності, фактично не вносячи токенів.

Відмивання коштів і вилучення колекційних речей

За даними правоохоронців, викрадену криптовалюту відмивали через криптоміксер Tornado Cash і кілька децентралізованих бірж. Частину коштів витратили на 18 запечатаних наборів карт Alpha Booster для Magic приблизно за $1,5 млн, повний набір Pokémon Base Set першого видання орієнтовно за $750 тис., карту Black Lotus із гри Magic: The Gathering приблизно за $500 тис. та давньоримську монету, присвячену вбивству Юлія Цезаря, вартістю понад $601 тис.

У лютому 2025 року агенти вилучили ці колекційні предмети за місцем проживання Спаллетти та повернули близько $31 млн у криптовалюті з пов’язаних із ним гаманців. За комп’ютерне шахрайство йому загрожує до 10 років ув’язнення, а за відмивання грошей — до 20 років.