Un jury fédéral de Manhattan a reconnu Jonathan Spalletta, consultant en cybersécurité du Maryland, coupable d’avoir siphonné environ 54,7 millions de dollars sur la plateforme d’échange décentralisée Uranium Finance lors de deux piratages en avril 2021.
Cette affaire ressemble à un délire fiévreux mêlant cryptomonnaies et objets de collection : les fonds volés ont transité par Tornado Cash, avant de servir à acheter l’une des cartes Magic: The Gathering les plus chères au monde, un coffret Pokémon de première édition, une pièce romaine et un morceau de tissu qui a voyagé jusqu’à la Lune.
Le verdict
Mercredi 7 octobre, au terme d’un procès de six jours devant le juge fédéral Jed Rakoff, un jury a déclaré Spalletta, 36 ans, originaire de Rockville, dans le Maryland, coupable des deux chefs d’accusation de fraude informatique et de blanchiment d’argent. La fraude informatique est passible d’une peine maximale de 10 ans de prison, et le blanchiment d’argent, de 20 ans. En ligne, Spalletta utilisait les pseudonymes « Cthulhon » et « Jspalletta ».
Le procureur américain Jamie McDonald a déclaré :
« Les crimes de Spalletta ont fait perdre de l’argent réel à de vraies personnes, plus de 50 millions de dollars, et ont provoqué l’effondrement d’une plateforme crypto entière. » Le district sud de New York a ajouté que ses procureurs et partenaires de l’agence avaient veillé à ce que sa « conduite criminelle dans le monde virtuel se termine par une condamnation pénale dans le monde réel ».
Premier piratage : un bug et une « prime »
Uranium Finance était une bourse décentralisée où les utilisateurs échangeaient des jetons via des pools de liquidité. Selon les procureurs, Spalletta a frappé le 8 avril 2021 en répétant une série de transactions contre le contrat intelligent d’Uranium afin d’extraire bien plus de récompenses que celles qui lui étaient dues, emportant environ 1,4 million de dollars.
Il a ensuite poussé l’équipe à le laisser conserver environ 386 000 $ comme « prime de bug » en échange de la restitution du reste. Les procureurs ont qualifié cette prime de simulacre. Deux semaines plus tard, il a écrit à une autre personne :
« J’ai réalisé un braquage crypto de 1,5 million de dollars il y a quelques semaines… Il y avait un bug dans un contrat intelligent, et je l’ai exploité… De toute façon, la crypto, c’est juste de l’argent internet bidon. »
Deuxième piratage : l’attaque de 53,3 millions de dollars
Seulement 20 jours après la première attaque, le 28 avril 2021, il a recommencé. Cette fois, il a exploité une erreur dans la manière dont le contrat calculait les retraits à travers plusieurs pools de liquidité, emportant environ 53,3 millions de dollars. Uranium n’a pas pu survivre à cette perte et a fermé faute de fonds.
« Le code est la loi » n’a pas fonctionné
Les avocats de Spalletta ont soutenu que les procureurs ne pouvaient pas prouver « à qui appartenaient les doigts sur le clavier », qu’il n’avait pas écrit le code défectueux d’Uranium et que Tornado Cash n’était qu’un simple outil de confidentialité. Le jury a rejeté ces arguments. Cryptopolitan a rapporté que le verdict est tombé après environ deux heures de délibération. Après le verdict, les procureurs ont demandé la mise sous surveillance GPS de Spalletta.
Blanchiment via Tornado Cash
Les procureurs ont déclaré que Spalletta avait fait passer le produit de ses gains par une chaîne de transactions incluant Tornado Cash, le service de mixage d’Ethereum conçu pour masquer d’où viennent les fonds et où ils vont. Les comptes rendus du procès ont indiqué qu’environ 26 millions de dollars étaient passés par le mixeur entre avril 2021 et novembre 2023.
La liste de courses
Ce qui a fait de cette affaire un sujet de gros titres, c’est l’usage qui a été fait de l’argent. Selon le ministère de la Justice et les éléments du procès :
– Magic: The Gathering : une carte Lotus noir pour environ 500 000 $, plus 18 boosters Alpha scellés pour environ 1,5 million $
– Pokémon : un ensemble de base complet de première édition pour environ 750 000 $ et une boîte de boosters scellée de première édition pour environ 257 500 $
– Histoire ancienne : un denier Eid Mar, la pièce romaine commémorant l’assassinat de Jules César, pour environ 601 545 $
– Souvenirs de l’espace : un morceau de tissu provenant de l’avion original des frères Wright, emporté sur la Lune par Neil Armstrong, pour environ 137 500 $
C’est beaucoup de carton et de tissu, et cela rime justement avec une tendance que les lecteurs crypto ont remarquée récemment : les cartes Pokémon ont surperformé le Bitcoin en 2026, et Coinbase a récemment annoncé un produit de packs Pokémon.
Ce que le gouvernement a récupéré
Les enquêteurs ont saisi le Black Lotus, le tissu des frères Wright et certaines des pièces au domicile de Spalletta dans le cadre d’un mandat de perquisition autorisé par un tribunal. En février 2025, les autorités ont également saisi des cryptomonnaies provenant des piratages d’Uranium, d’une valeur d’environ 31 millions de dollars à l’époque. Les procureurs ont demandé à toute personne pensant avoir été victime des piratages d’Uranium de contacter Homeland Security Investigations.
Pourquoi les utilisateurs de crypto devraient s’en soucier
Cette affaire survient dans une année où la sécurité de la DeFi a été brutale, avec des centaines de millions perdus à cause d’exploitations abusives sur des plateformes d’échange et des protocoles. Elle rappelle trois choses :
1. Les exploitations abusives sont passibles de poursuites. L’argument « le code le permettait » a échoué devant un jury, même si la logique du contrat était réellement défectueuse.
2. Une « prime de bug » n’est pas un laissez-passer. Le fait d’avoir rendu une partie du butin après l’avoir pris ne l’a pas protégé.
3. Les mixeurs n’effacent pas la trace. L’argent a transité par Tornado Cash, mais les enquêteurs l’ont tout de même relié à des biens se trouvant chez lui et à 31 millions de dollars de cryptomonnaies saisies.
Pour les utilisateurs et l’équipe d’Uranium, le préjudice était définitif : la plateforme ne s’est jamais relevée.
Et ensuite ?
La date de condamnation de Spalletta n’a pas été mentionnée dans les articles que j’ai trouvés. Avec des condamnations sur les deux chefs d’accusation, il encourt une peine totale potentielle de 30 ans de prison, même si les peines effectives sont généralement plus légères. Pour l’instant, l’affaire sert d’avertissement dans le chapitre « que se passe-t-il après le piratage » de la DeFi : le code a été exploité en quelques minutes, mais les conséquences ont mis plus de cinq ans à arriver.