Федеральний суд присяжних на Мангеттені визнав Джонатана Спаллетту, консультанта з кібербезпеки з Меріленду, винним у виведенні близько 54,7 мільйона доларів із децентралізованої біржі Uranium Finance під час двох хакерських атак у квітні 2021 року.
Ця справа схожа на гарячковий сон, у якому криптовалюти поєдналися з колекційними предметами: викрадені кошти пройшли через Tornado Cash, а потім пішли на одну з найдорожчих карт Magic: The Gathering, що існують, набір Pokémon першого видання, римську монету та клаптик тканини, який побував на Місяці.
Вердикт
У середу, 7 жовтня, присяжні визнали 36-річного Спаллетту з Роквілла, штат Меріленд, винним за обома обвинуваченнями — у комп’ютерному шахрайстві та відмиванні грошей — після шестиденного судового розгляду під головуванням окружного судді США Джеда Ракоффа. За комп’ютерне шахрайство загрожує до 10 років ув’язнення, а за відмивання грошей — до 20. В інтернеті Спаллетта користувався псевдонімами «Cthulhon» і «Jspalletta».
Прокурор США Джеймі Макдональд сказав:
«Злочини Спаллетти коштували реальним людям реальних грошей, понад 50 мільйонів доларів, і спричинили крах усієї криптоплатформи». Південний округ Нью-Йорка додав, що його прокурори та партнери з агентств забезпечили, щоб його «злочинна поведінка у віртуальному світі завершилася реальним кримінальним вироком у реальному світі».
Злом один: баг і «винагорода»
Uranium Finance була децентралізованою біржею, де користувачі обмінювали токени через пули ліквідності. За словами прокурорів, Спаллетта завдав удару 8 квітня 2021 року, повторюючи серію транзакцій проти смарт-контракту Uranium, щоб вивести значно більше винагороди, ніж йому належало, забравши близько $1.4 мільйона.
Потім він тиснув на команду, щоб вони дозволили йому залишити приблизно $386,000 як «bug bounty» в обмін на повернення решти. Прокурори назвали цю винагороду фікцією. Через два тижні він написав іншій людині:
«Я здійснив криптограбіж на $1.5MM кілька тижнів тому… У смарт-контракті була помилка, і я скористався нею… У будь-якому разі крипта — це все фальшиві інтернет-гроші».
Злом два: удар на $53.3 мільйона
Лише через 20 днів після першої атаки, 28 квітня 2021 року, він ударив знову. Цього разу він скористався помилкою в тому, як контракт обчислював виведення коштів із кількох пулів ліквідності, забравши близько $53.3 мільйона. Uranium не пережила втрат і припинила роботу через брак коштів.
«Code Is Law» Не спрацювало
Адвокати Спаллетти стверджували, що прокурори не могли довести, «чиї пальці були на клавіатурі», що він не писав несправний код Uranium, а також що Tornado Cash — це просто інструмент для приватності. Присяжні відхилили ці аргументи. Cryptopolitan повідомив, що вердикт було ухвалено після приблизно двох годин нарад. Після вердикту прокурори попросили запровадити GPS-моніторинг Спаллетти.
Відмивання через Tornado Cash
Прокурори заявили, що Спаллетта переводив кошти через ланцюг транзакцій, який включав Tornado Cash — сервіс змішування в Ethereum, створений для приховування, звідки надходять кошти і куди вони йдуть. Звітність щодо процесу показала, що приблизно $26 мільйонів із них пройшли через міксер між квітнем 2021 року та листопадом 2023 року.
Список покупок
Те, що перетворило це на гучну новину, — це куди пішли гроші. За даними Міністерства юстиції та доказів у справі:
– Magic: The Gathering: картка Black Lotus приблизно за $500,000, плюс 18 запечатаних бустерів Alpha приблизно за $1.5 мільйона
– Pokémon: повний базовий набір першого видання приблизно за $750,000 і запечатану бустерну коробку першого видання приблизно за $257,500
– Давня історія: денарій Eid Mar, римська монета на честь убивства Юлія Цезаря, приблизно за $601,545
– Космічні реліквії: шматок тканини з оригінального літака братів Райт, який Ніл Армстронг узяв на Місяць, приблизно за $137,500
Це чимало картону й тканини, і це невипадково римується з тенденцією, яку крипточитачі помітили останнім часом: картки Pokémon у 2026 році випереджали Bitcoin, а Coinbase нещодавно анонсувала продукт із бустерів Pokémon.
Що повернула держава
Слідчі вилучили Black Lotus, тканину братів Райт і деякі монети з дому Спаллетти на підставі санкціонованого судом ордера на обшук. У лютому 2025 року влада також вилучила криптовалюту, пов’язану зі зломами Uranium, вартістю близько $31 мільйона на той час. Прокурори просять усіх, хто вважає себе жертвою зломів Uranium, звернутися до Служби внутрішніх розслідувань Міністерства внутрішньої безпеки США.
Чому це має турбувати користувачів криптовалюти
Ця справа припадає на рік, коли безпека DeFi була вкрай проблемною: сотні мільйонів було втрачено через експлойти на біржах і в протоколах. Це нагадування про три речі:
1. За експлойти можна притягнути до відповідальності. Аргумент «код це дозволяв» не переконав присяжних, хоча логіка контракту справді була хибною.
2. «Bug bounty» — не індульгенція. Повернення частини здобичі після крадіжки не захистило його.
3. Міксери не стирають слід. Гроші проходили через Tornado Cash, але слідчі все одно відстежили їх до активів у його домі та до $31 мільйона вилученої криптовалюти.
Для користувачів і команди Uranium збитки були незворотними: біржа так і не відновилася.
Що далі
Дата вироку Спаллетти в матеріалах, які я знайшов, не повідомляється. З огляду на обвинувальні вироки за обома пунктами йому загрожує потенційно до 30 років ув’язнення, хоча фактичні строки зазвичай менші. Наразі ця справа слугує застереженням у розділі DeFi «що стається після злому»: код було використано за лічені хвилини, але наслідки настали лише більш ніж через п’ять років.