Il détourne 50 millions d'euros sur un protocole DeFi et les blanchit en cartes Pokémon, voici ce qu'il risque désormais

Transformer un exploit DeFi en collection de cartes rares, puis finir devant un jury fédéral : le parcours de Jonathan Spalletta ressemble à un scénario de série. En quelques semaines au printemps 2021, le pirate à l’origine du hack d’Uranium Finance a détourné des dizaines de millions de dollars en cryptomonnaies avant d’en dilapider une partie dans des cartes Magic et des cartes Pokémon, des pièces antiques et même un fragment de tissu du premier avion des frères Wright.

Cinq ans plus tard, la justice américaine a tranché : un jury de Manhattan l’a reconnu coupable de fraude informatique et de blanchiment d’argent, au terme d’un procès qui cristallisait les débats sur la maxime « Code is Law » et les responsabilités dans la finance décentralisée. Derrière ce verdict, ce sont aussi les trajectoires très concrètes du butin, des pools de liquidité aux vitrines de collectionneurs, qui retiennent l’attention.

Un jury new-yorkais reconnaît le pirate d’Uranium Finance coupable

Le 7 octobre 2026, après un procès de six jours devant le tribunal fédéral de Manhattan, un jury a déclaré coupable de fraude informatique et de blanchiment d’argent Jonathan Spalletta, 36 ans, consultant en cybersécurité installé à Rockville dans le Maryland. Selon les documents du parquet, il est à l’origine de deux attaques contre le protocole de finance décentralisée Uranium Finance en avril 2021, qui ont permis de détourner au total près de 55 millions de dollars, soit autour de 51 millions d’euros. L’intéressé, qui s’était rendu aux autorités américaines après l’ouverture de l’enquête, encourt désormais jusqu’à dix ans de prison pour la fraude informatique et vingt ans pour le blanchiment si le tribunal applique les plafonds légaux. Le juge Jed Rakoff a fixé l’audience de détermination de la peine au 16 février 2027, la décision rendue en octobre portant uniquement sur la culpabilité et non sur la durée effective de la peine.

Au procès, la ligne de défense reposait sur le fait que Jonathan Spalletta s’était contenté d’utiliser des fonctions publiques des contrats intelligents, sans violer de comptes ni déployer de logiciel malveillant. Ce raisonnement s’inscrivait dans le courant souvent résumé par l’expression « Code is Law », c’est à dire l’idée que, dans un protocole ouvert, seules les règles inscrites dans le code feraient foi, selon CryptoTicker. D’après le compte rendu de Journal du Coin, ses avocats soutenaient qu’il avait agi « sans identifiants usurpés ni code malveillant » et que la première attaque avait donné lieu à une « prime » de découverte de faille négociée avec l’équipe d’Uranium Finance, là où le verdict retient sa responsabilité pour « l’exploitation des failles et le blanchiment des fonds ». Le jury fédéral n’a mis qu’un peu plus de deux heures pour écarter cette version des faits.

Du hack aux cartes Pokémon : deux attaques, un butin et des saisies

Pour comprendre ce verdict, il faut revenir au printemps 2021. Le 8 avril, Jonathan Spalletta exploite une première faille dans le mécanisme de distribution des récompenses d’Uranium Finance et enchaîne les transactions pour retirer bien plus de jetons que ce à quoi il avait droit, empochant environ 1,4 million de dollars (près de 1,3 million d’euros). Il en restitue alors une partie et conserve approximativement 386 000 dollars, dans le cadre d’un accord présenté comme une prime de découverte de vulnérabilité. Le 28 avril 2021, au moment où le protocole migre vers une nouvelle version de ses contrats, une erreur de calcul dans le contrat gérant chaque paire de jetons amène le système à surestimer ses propres réserves d’un facteur cent : en déposant une faible somme, l’attaquant peut retirer beaucoup plus. Cette seconde offensive lui permet de vider simultanément 26 pools de liquidité pour environ 53,3 millions de dollars supplémentaires, soit près de 50 millions d’euros, et contraint Uranium Finance à cesser définitivement ses activités. Selon les estimations publiées, le total des deux attaques se situe entre 54,7 et près de 55 millions de dollars, tandis qu’une base d’incidents chiffre le préjudice à 57,2 millions de dollars, ce qui donne une fourchette comprise entre 53,3 et 57,2 millions de dollars, soit environ 50 à 54 millions d’euros.

Une fois le butin extrait des pools, Jonathan Spalletta s’emploie à le faire disparaître aux yeux des enquêteurs. Selon l’accusation, il disperse les fonds à travers une série de transactions en cryptomonnaies, en passant par le mixeur Tornado Cash pour brouiller la traçabilité sur la blockchain, avant de convertir une partie des sommes en objets de collection très recherchés. Le parquet cite par exemple une carte Black Lotus du jeu de cartes Magic achetée environ 500 000 dollars (près de 470 000 euros), dix-huit paquets scellés de l’édition Alpha pour autour de 1,5 million de dollars (environ 1,4 million d’euros) et un ensemble de cartes Pokémon de première édition payé près de 750 000 dollars (un peu plus de 700 000 euros). Figurent aussi parmi les achats une monnaie romaine commémorant l’assassinat de Jules César pour plus de 600 000 dollars (environ 560 000 euros) et un fragment de tissu provenant de l’avion des frères Wright, emporté sur la Lune par Neil Armstrong, pour environ 137 500 dollars (environ 130 000 euros). En février 2025, les forces de l’ordre ont saisi plusieurs de ces pièces au domicile de Jonathan Spalletta, ainsi que des cryptoactifs d’une valeur d’environ 31 millions de dollars, soit près de 29 millions d’euros au cours du jour, preuve interressante que les achats physiques et les justificatifs qui les accompagnent peuvent rétablir une piste là où les mixeurs avaient effacé les traces en ligne, alors que les déposants d’Uranium Finance attendent encore de savoir quelle part de ces sommes leur reviendra.