Суд присяжных в Манхэттене признал виновным хакера Uranium Finance

Федеральное жюри Манхэттена в среду признало Джонатана Спалетту виновным по обоим пунктам обвинения — компьютерное мошенничество и отмывание денег. Об этом в зале суда сообщило агентство Inner City Press. Спалетта — консультант по кибербезопасности, его дело связано с атаками на децентрализованный протокол Uranium Finance в сети BNB Chain в апреле 2021 года. Прокуроры говорили о краже около 53,3 млн долларов ≈ 163 млн BYN.

Как проходил процесс

По словам судебного репортера Inner City Press Мэтью Рассела Ли, присяжные начали совещание во вторник днем, а вердикт вынесли в среду. После этого обвинение ходатайствовало о GPS-мониторинге для Спалетты, но судья Джед С. Ракофф отказал, отметив, что подсудимый регулярно являлся в суд. Дата вынесения приговора пока не назначена. Максимальные сроки по закону — 10 лет за компьютерное мошенничество и 20 лет за отмывание денег; Ракофф не обязан назначать именно такие сроки. Министерство юстиции официального сообщения о вердикте не опубликовало, вопросы возмещения ущерба и конфискации имущества остаются открытыми.

Пропущенный ноль и 26 пулов ликвидности

Первая атака произошла 8 апреля 2021 года: по версии обвинения, Спалетта использовал уязвимость в системе распределения вознаграждений и вывел около 1,4 млн долларов ≈ 4,29 млн BYN, а затем вернул примерно 1 млн долларов ≈ 3,06 млн BYN, оформив это как программу поощрения за найденные ошибки. В обвинительном заключении приводится его сообщение: «Пару недель назад я совершил криптовалютное ограбление на сумму 1,5 млн долларов ≈ 4,60 млн BYN… В смарт-контракте была уязвимость, и я ею воспользовался… Криптовалюта — это всё равно фальшивые интернет-деньги».

28 апреля Uranium Finance версии 2.1 потеряла контроль над своими пулами: ошибка в математической проверке контрактов фактически убрала из уравнения ноль. Прокуроры утверждают, что Спалетта опустошил 26 пулов ликвидности и вывел около 53,3 млн долларов, после чего протокол остался без средств.

Tornado Cash, Black Lotus и лунная ткань

С апреля 2021 по ноябрь 2023 года через миксер эфира Tornado Cash прошло около 26 млн долларов ≈ 79,7 млн BYN, утверждало обвинение. Исследователь блокчейна ZachXBT позже отследил, как средства выходили из миксера порциями по 100 ETH, конвертировались и тратились на коллекционные предметы. Среди покупок, указанных в обвинительном заключении: редкая карта Black Lotus из набора Magic: The Gathering примерно за 500 000 долларов ≈ 1,53 млн BYN, 18 запечатанных бустеров Alpha Booster примерно за 1,51 млн долларов, базовый набор карт Pokemon первого издания примерно за 750 000 долларов, бустер-бокс Pokemon первого издания за 257 500 долларов, монета Романа Эйда Мара в честь убийства Юлия Цезаря примерно за 601 545 долларов и ткань с самолета братьев Райт, которую Нил Армстронг позже взял с собой на Луну, примерно за 137 500 долларов.

В феврале 2025 года федеральные агенты изъяли криптовалюту примерно на 31 млн долларов и часть коллекции, включая Black Lotus и ту самую ткань.

Что говорила защита

Адвокаты Спалетты настаивали, что обвинение не доказало, «чьи пальцы были на клавиатуре», что ошибочный код Uranium он не писал, а Tornado Cash сам по себе — инструмент для сохранения конфиденциальности. Правительство отвечало ссылками на блокчейн-аналитику и на собственные сообщения подсудимого. В одном из приведенных диалогов, уже после первого инцидента, он написал представителю Uranium: «В следующий раз пусть твой код проверят». Присяжные отклонили доводы защиты по обоим пунктам.