Pokémon-fan staat terecht voor hack van $55 miljoen bij cryptoplatform

Een Amerikaanse cybersecurityexpert staat terecht voor het leeghalen van cryptoplatform Uranium Finance. Jonathan Spalletta zou bij twee aanvallen in totaal bijna 55 miljoen dollar aan cryptomunten hebben buitgemaakt.

Bijzonder is vooral wat de autoriteiten later bij hem aantroffen. Naast miljoenen aan crypto bezat Spalletta onder meer zeldzame Pokémonkaarten, een Romeinse munt en zelfs een stukje van het eerste vliegtuig van de gebroeders Wright.

Toch draait de rechtszaak vooral om een andere vraag. Spalletta ontkent dat hij heeft gehackt en stelt dat hij alleen gebruikmaakte van functies die voor iedereen toegankelijk waren.

Justitie spreekt van hack, verdediging ziet dat anders

De inhoudelijke behandeling van de zaak begon maandag bij een federale rechtbank in Manhattan. Spalletta werd in maart aangeklaagd voor twee aanvallen op Uranium Finance in 2021 en heeft verklaard niet schuldig te zijn. Voor de zwaarste aanklacht kan hij maximaal twintig jaar gevangenisstraf krijgen.

Volgens de Amerikaanse justitie maakte Spalletta bewust misbruik van fouten in de software om tientallen miljoenen dollars weg te halen. Daarna zou hij verschillende technieken hebben gebruikt om de herkomst van de crypto te verhullen.

Zijn advocaat Shrey Sharma bestrijdt dat sprake was van een hack. Spalletta zou geen accounts hebben overgenomen, geen schadelijke software hebben gebruikt en geen beveiliging hebben omzeild.

In plaats daarvan gebruikte hij volgens de verdediging functies die gewoon beschikbaar waren via de smart contracts van Uranium Finance. Dat zijn programma’s op een blockchain die automatisch transacties uitvoeren.

Juist dat verschil staat centraal in de zaak. De jury moet bepalen of het bewust misbruiken van een fout in openbaar toegankelijke blockchainsoftware volgens de Amerikaanse wet als hacken kan worden beschouwd.

Van Pokémonkaarten tot stukje van historisch vliegtuig

De bezittingen van Spalletta maken de zaak extra opmerkelijk. Bij een inval in zijn woning namen Amerikaanse autoriteiten voor meer dan drie miljoen dollar aan zeldzame Pokémonkaarten en Magic: The Gathering-kaarten in beslag.

Ook zou hij ruim 600.000 dollar hebben uitgegeven aan een Romeinse munt die verwijst naar de moord op Julius Caesar.

Nog opmerkelijker was een aankoop van 137.500 dollar. Voor dat bedrag kocht Spalletta een stukje stof van het oorspronkelijke vliegtuig van de gebroeders Wright. Astronaut Neil Armstrong zou materiaal van datzelfde vliegtuig later hebben meegenomen naar de maan.

Daarnaast namen de autoriteiten ongeveer 31 miljoen dollar aan digitale munten in beslag.

De verdediging benadrukt dat niet is bewezen dat deze bezittingen met de opbrengsten van de vermeende aanvallen zijn gekocht. Spalletta zou pas in 2023 zijn begonnen met het verzamelen van dergelijke objecten.

Uranium Finance verloor ruim $53 miljoen bij tweede aanval

De eerste vermeende aanval vond plaats via het beloningssysteem van Uranium Finance. Gebruikers konden crypto beschikbaar stellen voor de handel en kregen daarvoor beloningen.

Volgens justitie ontdekte Spalletta een fout waarmee hij veel grotere beloningen kon ontvangen dan de bedoeling was. Hij zou de truc meerdere keren hebben herhaald totdat de volledige beloningspot leeg was. De opbrengst bedroeg ongeveer 1,4 miljoen dollar.

Daarna zou hij Uranium Finance onder druk hebben gezet om 386.000 dollar te mogen houden als bug bounty. Dat is een beloning die bedrijven kunnen betalen aan mensen die een fout in hun software ontdekken en melden.

Na ontvangst van het geld stuurde Spalletta volgens de aanklacht een duidelijke boodschap naar Uranium Finance: “Laat je code de volgende keer controleren.”

Drie weken later ging het volgens justitie opnieuw mis. Spalletta zou een andere kwetsbaarheid hebben ontdekt waarmee hij kon manipuleren hoeveel crypto uit een liquiditeitspool werd gehaald.

Deze keer was de buit veel groter. Volgens de aanklagers verdween voor ruim 53,3 miljoen dollar aan digitale munten. Het verlies was zo groot dat Uranium Finance uiteindelijk stopte.

Daarna zou Spalletta verschillende transacties hebben uitgevoerd om het spoor van de crypto moeilijker te volgen. Daarbij gebruikte hij volgens justitie onder meer cryptomixer Tornado Cash.

De aanklagers zien daarin bewijs dat het om een bewuste diefstal ging. De verdediging houdt vol dat Spalletta simpelweg gebruikmaakte van mogelijkheden die de code van Uranium Finance zelf toestond. De jury moet nu bepalen welke uitleg juridisch standhoudt.