Inculpation aux États-Unis
Une inculpation aux États-Unis allègue que deux exploits de la plateforme Uranium Finance ont transité par Tornado Cash avant d’être utilisés pour acheter des cartes Pokémon et d’autres objets de collection. Les accusations portées contre Jonathan Spalletta demeurent des allégations et ne constituent pas un constat de culpabilité par un tribunal.
Détails de l’inculpation
L’annonce de l’inculpation par le Département de la Justice des États-Unis, publiée le 30 mars 2026, décrit les hacks présumés, le parcours de blanchiment et les achats effectués. Uranium était une plateforme d’échange de cryptomonnaies décentralisée permettant aux utilisateurs de déposer et d’échanger des actifs via des pools de liquidités.
Les procureurs allèguent que Spalletta a exploité ses contrats intelligents à deux reprises en avril 2021, transformant des faiblesses dans la logique de retrait et de récompenses en pertes substantielles pour l’échange et ses utilisateurs. La première attaque présumée a eu lieu le 8 avril. L’inculpation indique qu’une séquence trompeuse de transactions de contrats intelligents a permis à Spalletta de retirer plus de jetons de récompense qu’il n’y avait droit, extrayant des cryptomonnaies d’une valeur d’environ 1,4 million de dollars.
Elle allègue également qu’il a répété ces transactions jusqu’à avoir drainé presque tous les jetons de récompense dans le pool. Le 28 avril, les procureurs allèguent qu’il a exploité une erreur distincte affectant les retraits à travers 26 pools de liquidités Uranium, entraînant le vol d’environ 53,3 millions de dollars en crypto. L’échange a fermé après le deuxième piratage en raison d’un manque de fonds.
Ces chiffres sont le compte rendu du DOJ concernant deux attaques distinctes ; le communiqué ne fixe pas un total combiné définitif, au-delà de décrire les accusations comme impliquant plus de 50 millions de dollars.
Conséquences et saisies
L’affaire a largement dépassé l’exploit initial. Le DOJ a déclaré que Spalletta s’était rendu après que l’inculpation ait été rendue publique le 30 mars 2026, et devait comparaître devant la juge de paix américaine Ona T. Wang. Par ailleurs, les forces de l’ordre ont saisi des cryptomonnaies d’une valeur d’environ 31 millions de dollars le 24 février 2025, en vertu d’un mandat de saisie autorisé par un tribunal.
Ce long intervalle entre les attaques présumées de 2021 et la saisie ultérieure est courant dans l’application de la loi sur les cryptomonnaies : les transactions peuvent rester visibles même lorsque l’identité derrière une adresse n’est pas immédiatement établie.
Utilisation des fonds volés
D’un exploit crypto présumé à des cartes Pokémon, l’inculpation décrit un parcours allant de l’exploitation de contrats à la dépense, et pas seulement un solde important dans un portefeuille. Les procureurs allèguent qu’après avoir obtenu la cryptomonnaie, Spalletta l’a déplacée à travers une série complexe de transactions entre portefeuilles et blockchains, y compris via Tornado Cash.
Le communiqué ne fournit pas un compte rendu complet de traçage transaction par transaction. Les achats présumés rendent l’affaire particulièrement tangible. Le DOJ affirme que les produits ont financé :
- Une carte Black Lotus de Magic: The Gathering pour environ 500 000 dollars
- 18 paquets Alpha scellés pour environ 1,51 million de dollars
- Une boîte de booster Pokémon de première édition scellée, évaluée à environ 257 500 dollars
- Un ensemble de base Pokémon de première édition complet pour environ 750 000 dollars
Les dépenses en crypto présumées s’étendent au-delà des cartes Pokémon. L’inculpation identifie :
- Un morceau de tissu de l’avion original des frères Wright, plus tard emporté sur la lune par l’astronaute Neil Armstrong, acheté pour environ 137 500 dollars
- Un Eid Mar Denarius commémorant l’assassinat de Jules César, acheté pour environ 601 545 dollars
Le communiqué indique que des photographies de la carte Black Lotus, du tissu et de certaines pièces étaient associées à des objets saisis dans la résidence de Spalletta en vertu d’un mandat de perquisition autorisé par un tribunal.
Conclusion
Ces détails décrivent les allégations du gouvernement, et non un compte rendu prouvé de qui a payé pour chaque article ou quel portefeuille a financé chaque achat. Le communiqué du DOJ ne précise pas qu’environ 26 millions de dollars ont transité par Tornado Cash, un chiffre apparaissant dans des rapports complémentaires. Ce chiffre ne doit pas être considéré comme établi par l’annonce de l’inculpation elle-même.
Le parcours est important pour les enquêteurs car la conversion en objets de collection peut créer des enregistrements et des contreparties en dehors de la blockchain. Les transferts on-chain peuvent identifier un modèle de mouvement, tandis que les enregistrements d’achat, les biens saisis et d’autres preuves peuvent potentiellement aider à relier ce modèle à une personne. La force probante réside dans la chaîne combinée, et non dans un transfert unique ou un objet de grande valeur.
Cela rend l’affaire pertinente au-delà d’Uranium Finance. Les actifs crypto peuvent se déplacer rapidement entre les adresses, tandis que les conséquences d’un piratage DeFi persistent à travers les échecs d’échange, les actions d’application de la loi et les efforts de récupération des années plus tard. La traçabilité des actifs volés après d’autres violations d’échange présente le même problème : suivre le mouvement n’est pas identique à prouver la propriété ou l’intention.
