Un fan de Pokémon jugé pour un piratage de 55 millions de dollars sur une plateforme crypto

Un expert américain en cybersécurité est jugé pour avoir vidé la plateforme crypto Uranium Finance. Jonathan Spalletta aurait dérobé au total près de 55 millions de dollars en cryptomonnaies lors de deux attaques.

Ce sont surtout les biens retrouvés ensuite par les autorités qui retiennent l’attention. Outre plusieurs millions en cryptoactifs, Spalletta possédait notamment de rares cartes Pokémon, une pièce romaine et même un fragment du premier avion des frères Wright.

Le procès porte toutefois principalement sur une autre question. Spalletta nie avoir piraté la plateforme et affirme s’être borné à utiliser des fonctionnalités accessibles à tous.

Pour la justice, un piratage ; pour la défense, une tout autre lecture

L’examen au fond de l’affaire a débuté lundi devant un tribunal fédéral de Manhattan. Spalletta a été inculpé en mars pour deux attaques visant Uranium Finance en 2021 et a plaidé non coupable. Le chef d’accusation le plus grave l’expose à une peine maximale de vingt ans de prison.

Selon la justice américaine, Spalletta aurait sciemment exploité des failles dans le logiciel afin de s’emparer de dizaines de millions de dollars. Il aurait ensuite utilisé différentes techniques pour dissimuler l’origine des cryptomonnaies.

Son avocat, Shrey Sharma, conteste la qualification de piratage. Selon lui, Spalletta n’aurait pris le contrôle d’aucun compte, n’aurait utilisé aucun logiciel malveillant et n’aurait contourné aucune mesure de sécurité.

La défense affirme au contraire qu’il a utilisé des fonctions simplement disponibles via les contrats intelligents d’Uranium Finance. Il s’agit de programmes déployés sur une blockchain qui exécutent automatiquement des transactions.

C’est précisément cette distinction qui se trouve au cœur du dossier. Le jury doit déterminer si l’exploitation délibérée d’une faille dans un logiciel blockchain accessible au public peut être considérée comme un piratage au regard du droit américain.

Des cartes Pokémon à un fragment d’avion historique

Les biens de Spalletta rendent l’affaire encore plus singulière. Lors d’une perquisition à son domicile, les autorités américaines ont saisi pour plus de trois millions de dollars de cartes Pokémon rares et de cartes Magic: The Gathering.

Il aurait également dépensé plus de 600.000 dollars pour une pièce romaine faisant référence à l’assassinat de Jules César.

Un autre achat, d’un montant de 137.500 dollars, est encore plus étonnant. Pour cette somme, Spalletta a acquis un morceau de toile provenant de l’avion original des frères Wright. L’astronaute Neil Armstrong aurait ensuite emporté sur la Lune des matériaux issus de ce même appareil.

Les autorités ont par ailleurs saisi environ 31 millions de dollars en actifs numériques.

La défense souligne qu’il n’a pas été prouvé que ces biens avaient été achetés avec le produit des attaques présumées. Spalletta n’aurait commencé à collectionner ce type d’objets qu’en 2023.

Uranium Finance a perdu plus de 53 millions de dollars lors de la seconde attaque

La première attaque présumée aurait visé le système de récompenses d’Uranium Finance. Les utilisateurs pouvaient fournir des cryptomonnaies pour alimenter les échanges et recevoir des récompenses en contrepartie.

Selon l’accusation, Spalletta aurait découvert une faille lui permettant de percevoir des récompenses bien supérieures à ce qui était prévu. Il aurait répété l’opération à plusieurs reprises jusqu’à vider entièrement la réserve de récompenses. Le gain se serait élevé à environ 1,4 million de dollars.

Il aurait ensuite fait pression sur Uranium Finance afin d’être autorisé à conserver 386.000 dollars au titre d’une prime de bug bounty. Il s’agit d’une récompense que les entreprises peuvent verser aux personnes qui découvrent et signalent une faille dans leur logiciel.

Après avoir reçu l’argent, Spalletta aurait, selon l’acte d’accusation, adressé un message sans ambiguïté à Uranium Finance : « Faites auditer votre code la prochaine fois. »

Trois semaines plus tard, selon la justice, un nouvel incident s’est produit. Spalletta aurait découvert une autre vulnérabilité lui permettant de manipuler la quantité de cryptomonnaies retirée d’un pool de liquidité.

Cette fois, le butin aurait été bien plus important. D’après les procureurs, plus de 53,3 millions de dollars d’actifs numériques ont disparu. La perte a été telle qu’Uranium Finance a fini par cesser ses activités.

Spalletta aurait ensuite effectué plusieurs transactions afin de rendre la trace des cryptomonnaies plus difficile à suivre. Selon la justice, il aurait notamment utilisé le mixeur crypto Tornado Cash.

Les procureurs y voient la preuve d’un vol prémédité. La défense maintient que Spalletta s’est simplement servi de possibilités que le code d’Uranium Finance autorisait lui-même. Il revient désormais au jury de déterminer quelle interprétation résiste juridiquement.