Uranium FinanceハッカーJonathan Spalletta被告、Ethereum (ETH)へ流した資金洗錢で有罪評決

マンハッタンの陪審がUranium Financeハッカーを有罪と認定

マンハッタンの連邦大陪審は水曜日、サイバーセキュリティー顧問のJonathan Spalletta被告(36歳、メリーランド州Rockville在住)を、コンピューター不正と資金洗錢の全起訴事項で有罪と評決した。2021年に分散型取引所Uranium Financeから発生した2件の攻撃で奪われた金額は合計約5,500万ドルに上る。ニューヨーク南部連邦地方検察庁が有罪評決の発表で明らかにしたもので、米連邦地方裁判所のJed Rakoff判事による6日間の公判の末、陪審員は約2時間の審議で全員一致の評決に達した。被告は3月30日に出頭しており、起訴状では「Cthulhon」「Jspalletta」というオンライン名義で特定されていた。担当は同庁の複合詐欺・サイバー犯罪部門。法定刑の上限は、コンピューター不正で10年、資金洗錢で20年と大きく異なり、同庁はこの上限が議会の定めるもので、実際の刑期は判事が決めると付言している。有罪を決めたのはEthereum (ETH)の価格動向ではなく、検察が窃取資金に結び付けたオンチェーンの取引記録だった。

2021年4月の2件の攻撃

検察は公判で2件の攻撃を立証した。Uranium Financeは、ユーザーが暗号資産を入金してスワップできるAMM(自動マーケットメイカー)型の取引所で、スマートコントラクトと呼ばれるソフトウェアがコインを保管し、固定のルールに従って払い出す仕組みだった。つまり会社の管理を介さずに運営される取引所である。2021年4月8日、被告は報酬コントラクトを攻撃対象に選んだ。このコントラクトはCrypto Faucetのように請求者へトークンを配布するもので、一連の取引を繰り返すことで本来の受取額をはるかに上回る報酬を引き出し、プールほぼ全体を空にして約140万ドルを奪った。約2週間後、被告は別の人物へのメッセージで手口をこう説明した。「2、3週間前に150万ドル分の暗号資産強奪をやった。スマートコントラクトにバグがあって、それを突いた。どうせ暗号資産なんて偽物のネットマネーだ」。この軽視は今日読むと典型的なFUDであり、陪審は実質的にこれが窃盗の自白であると受け止めた。検察によれば、被告はその後Uranium側に圧力をかけ、約38万6,000ドルを「バグ報奨金」として保持させようとしたが、政府はこの支払いを偽装と断じた。4月28日には出金を司るコントラクトの第2の脆弱性を突き、26のプールから約5,330万ドルを吸い上げ、取引所は閉鎖に追い込まれた。弁護側は「プラットフォームが公開していた機能を使ったにすぎず、偽造認証情報や悪意あるコードは使っていない」と主張したが、攻撃の核心はコードの支払いロジックにあり、トレーダーが注文種類で制御できる範囲の話ではなかった。

ポケモンカード、Tornado Cash、押収品

資金洗錢の経路は、コインの出所を曖昧にするミキシングサービスTornado Cashを経由し、その後収集品へと姿を変えた。検察が公判で列挙したのは、約50万ドルのマジック:ザ・ギャザリングのBlack Lotus、約151万2,500ドルの未開封Alphaブースターパック18個、約75万ドルの初版ポケモンベースセット、25万7,500ドルの未開封ブースターボックスである。このほか、ユリウス・カエサル暗殺を記念して鋳造された古代ローマのEid Marデナリウス銀貨に約60万1,545ドル、ライト兄弟の飛行機の布切れ(ニール・アームストロングが月面に持ち込んだ)に13万7,500ドルを支払ったことも認定事項に含まれる。オンチェーン分析はこれに先立つ2024年1月、足取りの一部をすでに追跡していた。Uraniumの攻撃者とされるアドレスから約250万BUSDが動き、Li.fi経由でBNB ChainからEthereum (ETH)へ移り、受取アドレスは812ETHと約50万5,500ドルのステーブルコインを集めていた。捜査当局は裁判所の令状に基づき、被告のメリーランド州の自宅からBlack Lotus、航空機の布切れ、古代コインを押収した。別個に、2025年2月24日には窃取に結び付く暗号資産が押収され、押収時点の価値は約3,100万ドルとされる。同庁の発表は、このハッキングの被害に心当たりのある人を国土安全保障省捜査局まで連絡するよう呼び掛けている。

量刑は2月16日に決定

この評決は、単独犯による攻撃の被害回復がどこまで進むかを示す実例になった。Tornado Cashでの混ぜ替えや、窃取した暗号資産をカードと骨董品への換え込む手法は、資金を捜査の手から守れなかった。約3,100万ドルの暗号資産に加えて収集品自体が押収され、被害者の返還額は2月16日の量刑手続きで算定される見通しで、資金洗錢罪の上限20年が判事に裁量の幅を与える。もう一つの教訓は「バグ報奨金」構えの失敗だ。検察は保持された38万6,000ドルを情状酌量ではなく犯意の証拠として扱った。事件の決着が向かう中、DefiLlamaのデータは9月のBitget漏えい(3.5億ドル)を2026年最大のハッキングとして位置付けている。分散型の売り場と暗号資産取引所の大手を比べる利用者にとって、SDNYの記録が示す結論は明快だ。監査済みコントラクトと説明責任を持つ運営者が、損失を背負うかどうかを分ける。