Un jury fédéral de Manhattan a reconnu Jonathan Spalletta, consultant en cybersécurité du Maryland, coupable d’avoir siphonné environ 54,7 millions de dollars sur la plateforme d’échange décentralisée Uranium Finance lors de deux piratages en avril 2021.
Cette affaire ressemble à un délire fiévreux mêlant cryptomonnaies et objets de collection : les fonds volés ont transité par Tornado Cash avant de servir à acheter certaines des cartes Magic: The Gathering les plus chères au monde, un coffret Pokémon de première édition, une pièce romaine et un morceau de tissu qui a voyagé jusqu’à la Lune.
Le verdict
Mercredi 7 octobre, un jury a reconnu Spalletta, 36 ans, de Rockville, dans le Maryland, coupable des deux chefs d’accusation — fraude informatique et blanchiment d’argent — à l’issue d’un procès de six jours devant le juge fédéral Jed Rakoff. La fraude informatique est passible d’une peine maximale de 10 ans de prison, et le blanchiment d’argent, de 20 ans. En ligne, Spalletta utilisait les pseudonymes « Cthulhon » et « Jspalletta ».
Le procureur des États-Unis Jamie McDonald a déclaré :
« Les crimes de Spalletta ont fait perdre plus de 50 millions de dollars à de vraies personnes et provoqué l’effondrement de toute une plateforme crypto. » Le district sud de New York a ajouté que ses procureurs et les organismes partenaires avaient veillé à ce que ses « activités criminelles dans le monde virtuel aboutissent à une condamnation dans le monde réel ».
Premier piratage : un bug et une « prime »
Uranium Finance était une plateforme d’échange décentralisée où les utilisateurs échangeaient des jetons par l’intermédiaire de pools de liquidités. Selon les procureurs, Spalletta a frappé le 8 avril 2021 en répétant une série de transactions contre le contrat intelligent d’Uranium afin d’en retirer des récompenses bien supérieures à celles auxquelles il avait droit, empochant environ 1,4 million de dollars.
Il a ensuite fait pression sur l’équipe pour qu’elle le laisse garder environ 386 000 dollars en guise de « prime de découverte de vulnérabilité », en échange de la restitution du reste. Les procureurs ont qualifié cette prime de simulacre. Deux semaines plus tard, il a écrit à une autre personne :
« J’ai fait un casse crypto de 1,5 million de dollars il y a quelques semaines… Il y avait un bug dans un contrat intelligent, et je l’ai exploité… De toute façon, les cryptos, c’est juste de la fausse monnaie sur Internet. »
Deuxième piratage : le coup à 53,3 millions de dollars
À peine 20 jours après la première attaque, le 28 avril 2021, il a frappé à nouveau. Cette fois, il a exploité une erreur dans le calcul des retraits du contrat sur plusieurs pools de liquidités, empochant environ 53,3 millions de dollars. Uranium n’a pas survécu à cette perte et a fermé faute de fonds.
L’argument « le code fait loi » n’a pas fonctionné
Les avocats de Spalletta ont soutenu que les procureurs ne pouvaient pas prouver « qui était au clavier », qu’il n’avait pas écrit le code défectueux d’Uranium et que Tornado Cash n’était qu’un outil de confidentialité. Le jury a rejeté ces arguments. Selon Cryptopolitan, le verdict a été rendu après environ deux heures de délibération. Après le verdict, les procureurs ont demandé que Spalletta soit placé sous surveillance GPS.
Blanchiment via Tornado Cash
Les procureurs ont déclaré que Spalletta avait transféré le produit de ses attaques au moyen d’une série de transactions, notamment via Tornado Cash, un service de mixage sur Ethereum conçu pour masquer l’origine et la destination des fonds. Selon les comptes rendus du procès, environ 26 millions de dollars ont transité par ce service entre avril 2021 et novembre 2023.
La liste des achats
Ce qui a fait les gros titres, c’est la destination de l’argent. Selon le ministère de la Justice et les éléments présentés au procès :
– Magic: The Gathering : une carte Black Lotus pour environ 500 000 dollars, ainsi que 18 boosters Alpha scellés pour près de 1,5 million de dollars – Pokémon : un coffret de base complet en première édition pour environ 750 000 dollars et une boîte de boosters de première édition scellée pour environ 257 500 dollars – Histoire antique : un denier Eid Mar, pièce romaine commémorant l’assassinat de Jules César, pour environ 601 545 dollars – Objets liés à l’espace : un morceau de tissu provenant de l’avion original des frères Wright, emporté sur la Lune par Neil Armstrong, pour environ 137 500 dollars
Ça fait beaucoup de carton et de tissu, et cela rejoint une tendance remarquée récemment par les lecteurs spécialisés en crypto : en 2026, les cartes Pokémon ont fait mieux que le Bitcoin, et Coinbase a récemment annoncé un produit de boosters Pokémon.
Ce que les autorités ont récupéré
Dans le cadre d’une perquisition autorisée par un tribunal, les enquêteurs ont saisi au domicile de Spalletta la carte Black Lotus, le tissu des frères Wright ainsi que certaines pièces. En février 2025, les autorités ont également saisi des cryptomonnaies issues des piratages d’Uranium, qui valaient alors environ 31 millions de dollars. Les procureurs ont demandé à toute personne estimant avoir été victime des piratages d’Uranium de contacter les enquêtes de la Sécurité intérieure (HSI).
Pourquoi les utilisateurs de crypto devraient s’en soucier
Cette affaire survient une année particulièrement dure pour la sécurité de la DeFi, avec des centaines de millions de dollars perdus lors d’exploits visant des plateformes d’échange et des protocoles. Elle rappelle trois choses :
1. Les exploits peuvent donner lieu à des poursuites. L’argument selon lequel « le code le permettait » n’a pas convaincu le jury, même si la logique du contrat était effectivement défaillante.
2. Une « prime de découverte de vulnérabilité » ne vous met pas à l’abri. Restituer une partie du butin après l’avoir pris ne l’a pas protégé. 3. Les services de mixage n’effacent pas les traces. L’argent a transité par Tornado Cash, mais les enquêteurs l’ont tout de même retracé jusqu’à des biens retrouvés à son domicile et aux 31 millions de dollars en cryptomonnaies saisis.
Pour les utilisateurs et l’équipe d’Uranium, les dégâts ont été irréversibles : la plateforme d’échange ne s’en est jamais relevée.
Et maintenant ?
La date de la condamnation de Spalletta n’a pas été rapportée dans les articles que j’ai consultés. Reconnu coupable des deux chefs d’accusation, il risque au total jusqu’à 30 ans de prison, même si les peines prononcées sont généralement moins lourdes. Pour l’instant, cette affaire fait figure de mise en garde dans le chapitre de la DeFi consacré à « l’après-piratage » : le code a été exploité en quelques minutes, mais les conséquences ont mis plus de cinq ans à se faire sentir.