Почему закрылась биржа Uranium Finance и на что были потрачены $54 млн

В апреле 2021 года произошло два масштабных взлома криптобиржи Uranium Finance. Как установило следствие, за ними стоял один человек — гражданин США Джонатан Спаллетта (псевдоним «Cthulhon»). Он воспользовался уязвимостями в коде биржи и украл криптовалюту на $54 млн. GetBlock AML Research подробно описывает, как работала схема и на что мошенник потратил деньги.

Что такое Uranium Finance: особенности биржи

Uranium Finance — это децентрализованная биржа, где пользователи обменивались криптоактивами без посредников. Система работала так: юзеры вносили свои монеты в «пулы ликвидности» (общие фонды). Смарт-контракт автоматически обменивал монеты между участниками, а биржа поощряла вкладчиков «вознаграждениями» (дополнительными токенами) за предоставление ликвидности.

Уязвимость биржи была в смарт-контрактах – в программном коде. Спаллетта умышленно нашел и использовал ошибки в этих контрактах, чтобы обманным путем вытащить гораздо больше вознаграждений, чем положено.

Первый взлом (8 апреля 2021)

В начале апреля 2021 года Спаллетта начал атаку на один из пулов ликвидности. Он многократно отправлял транзакции, которые выглядели как обычный вывод денег, но на самом деле обманывали систему.

Технически это получилось так: он вывел обратно вложенные средства специальной командой «EmergencyWithdraw» и одновременно оставался записанным в системе как бы еще держателем этих средств. Затем специальной «нулевой» транзакцией (он запросил снять 0 токенов) заставил смарт-контракт ошибочно пересчитать вознаграждение. Так биржа фактически вручила ему дополнительные токены-вознаграждения, полагающиеся вкладчику, несмотря на то, что он не отдавал своих активов. Таким образом Спаллетта мог многократно повторять трюк и буквально «выкачать» из пула почти все вознаграждения.

Всего в первом взломе он украл криптоактивы на $1.4 млн. Спустя две недели после этого Спаллетта написал в чате, что совершил «крипто-угон на $1.5 млн» и что «крипта — это все фальшивые интернет-деньги». Затем он начал торговаться с командой биржи: фактически, требовал, чтобы часть денег (около $386 тысяч) объявили «баунти» (премией за найденный баг). Биржа вынужденно согласилась на такой «компромисс», и Спаллетта вернул часть средств (но оставил оговоренные $386 тысяч себе).

Второй взлом (28 апреля 2021)

Через три недели произошла более крупная атака. На сей раз Спаллетта нашел другую уязвимость в коде — связанную с неправильной проверкой ограничений на вывод средств. Из-за программной ошибки система использовала вместо 10000 число 1000 при проверке запросов на снятие. Спаллетта воспользовался этим и стал запрашивать почти весь баланс из пулов за одну «нулевую» транзакцию. Например, он мог положить на счет буквально 0.000…0001 монеты (то есть практически ноль) и тут же вывести более 90% средств пула. Он провел такие операции в 26 различных пулах. В итоге ему удалось снять более $53 млн — подавляющую часть всех активов биржи.

После этого торговля на Uranium Finance фактически остановилась — у биржи не осталось денег для операций. Таким образом, Спаллетта причинил реальный ущерб многим инвесторам, доведя проект до краха.

Как Спаллетта прятал деньги и на что их тратил

Полученные мошенническим путем деньги Спаллетта сразу пытался «отмыть», чтобы скрыть следы. Он переводил средства через разные блокчейны и использовал миксер криптовалют Tornado Cash — сервис, который смешивает монеты с другими и усложняет отслеживание транзакций. Известно, что он прогнал через Tornado Cash сотни миллионов: около $386 тыс. после первого взлома и примерно $26 млн после второго.

После этих схем Спаллетта начал покупать дорогие коллекционные вещи. По данным следствия, на украденные деньги он приобрел редкие карты для игр Magic: The Gathering и Pokémon, античные римские монеты и даже фрагмент ткани из самолета братьев Райт, который впоследствии побывал на Луне.

Изъятый у Спаллетты фрагмент ткани из самолета братьев Райт, оцененный в $137 тыс.

В феврале 2025 года правоохранители арестовали Спаллетту. В ходе обыска у него конфисковали около $31 млн в криптовалюте и дорогостоящие коллекционные предметы: карточки, монеты и фрагмент самолета. Подозреваемого задержали и предъявили обвинения в компьютерном мошенничестве и отмывании денег. Ему грозит до 30 лет тюрьмы.