Des millions en crypto, puis des cartes Pokémon. Un jury fédéral de Manhattan a reconnu Jonathan Spalletta coupable de fraude informatique et de blanchiment d’argent le 7 octobre. Ce consultant en cybersécurité de 36 ans, installé à Rockville dans le Maryland, avait détourné près de 55 millions de dollars lors de deux attaques contre Uranium Finance en avril 2021. Il a ensuite consacré une partie des fonds à des objets de collection rares, dont une carte Pokémon.
Points clés
Les deux attaques ont permis de détourner environ 1,4 million puis 53,3 millions de dollars.
Jonathan Spalletta a utilisé notamment Tornado Cash pour blanchir les fonds, avant d’acheter des cartes et d’autres objets rares.
Une erreur de multiplicateur dans le contrat de migration a permis de retirer des fonds sans contrepartie
Sa peine doit être prononcée le 16 février 2027 : les deux chefs retenus comportent des maxima distincts de 10 et 20 ans de prison.
Uranium Finance : Deux attaques et près de 55 millions de dollars détournés
Uranium Finance permettait aux utilisateurs de déposer et d’échanger des cryptomonnaies grâce à des réserves communes, appelées pools de liquidité. Jonathan Spalletta a utilisé à deux reprises des failles dans les programmes qui géraient ces opérations.
Le 8 avril 2021, il a ciblé le mécanisme de distribution des récompenses. En répétant des transactions, il a retiré davantage de jetons que ce à quoi il avait droit, pour un montant d’environ 1,4 million de dollars.
Il a ensuite rendu une partie de cette somme, tout en conservant environ 386 000 dollars dans le cadre d’un accord présenté comme une prime de découverte de faille. Le parquet décrit cette « prime » comme un arrangement obtenu sous pression pour tenter d’échapper à des poursuites.
Le 28 avril, Spalletta a exploité une autre erreur, concernant cette fois les montants qu’il pouvait retirer des pools. Cette seconde attaque a touché 26 réserves et permis de détourner environ 53,3 millions de dollars. Les pertes ont entraîné la fermeture d’Uranium Finance. Le total des deux attaques atteint donc environ 54,7 millions de dollars, avant prise en compte des fonds rendus après la première.
La défense soutenait qu’il avait utilisé des fonctions publiques des contrats, « sans identifiants usurpés ni code malveillant ». Cet argument n’a pas empêché le jury de le reconnaître coupable à l’issue d’un procès de six jours.
Du blanchiment aux cartes Pokémon et aux objets historiques
Après les attaques, le mis en cause a déplacé les fonds à travers une série de transactions, en utilisant notamment Tornado Cash, un service de mélange de cryptomonnaies destiné à rendre leur parcours plus difficile à suivre.
Une partie de l’argent a ensuite financé des achats de collection. Le parquet cite une carte Black Lotus de Magic: The Gathering acquise pour environ 500 000 dollars, ainsi que 18 paquets scellés de cartes Alpha pour environ 1,5 million de dollars. Les achats comprennent également un ensemble Pokémon de première édition à 750 000 dollars.
Il a aussi acheté une monnaie romaine commémorant l’assassinat de Jules César pour plus de 600 000 dollars et un fragment de tissu de l’avion des frères Wright, emporté sur la Lune par Neil Armstrong, pour environ 137 500 dollars. Les autorités ont saisi plusieurs de ces objets à son domicile et, séparément, 31 millions de dollars en cryptomonnaies, valorisés au moment de leur saisie en février 2025.
Le juge Jed Rakoff a fixé l’audience de détermination de la peine au 16 février 2027. La fraude informatique est passible de dix ans de prison au maximum, contre vingt ans pour le blanchiment.
