Hacks d’Uranium Finance : des cartes Pokémon avec le butin ?

Un acte d’accusation américain allègue que deux exploitations de la plateforme crypto Uranium Finance ont transité par Tornado Cash avant d’être utilisées pour acquérir des cartes Pokémon et d’autres objets de collection. Les charges pesant contre Jonathan Spalletta demeurent des allégations et non une reconnaissance de culpabilité par un tribunal.

L’annonce du Département de la Justice des États-Unis (DOJ), publiée le 30 mars 2026, détaille les piratages présumés, le circuit de blanchiment et les achats effectués. Uranium était une plateforme d’échange décentralisée permettant aux utilisateurs de déposer et d’échanger des actifs via des pools de liquidité. Les procureurs affirment que Spalletta a exploité ses contrats intelligents à deux reprises en avril 2021, transformant des failles dans la logique des retraits et des récompenses en pertes substantielles pour l’échange et ses clients.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

La première attaque présumée a eu lieu le 8 avril. L’acte d’accusation précise qu’une séquence trompeuse de transactions sur les smart contracts a permis à Spalletta de retirer plus de jetons de récompense qu’il n’en avait le droit, extrayant environ 1,4 million de dollars en cryptomonnaies. Il est également allégué qu’il a répété l’opération jusqu’à vider la quasi-totalité des récompenses du pool.

Le 28 avril, selon les procureurs, il aurait exploité une erreur distincte affectant les retraits sur 26 pools de liquidité d’Uranium, entraînant le vol d’environ 53,3 millions de dollars en crypto. L’échange a dû fermer ses portes après ce second hack faute de fonds. Ces chiffres correspondent au récit du DOJ concernant deux attaques distinctes ; le communiqué ne fixe pas de total combiné définitif au-delà de la description de charges impliquant plus de 50 millions de dollars.

L’affaire a largement dépassé le stade de l’exploit initial. Le DOJ a indiqué que Spalletta s’est rendu après la levée des scellés de l’acte d’accusation le 30 mars 2026, et devait comparaître devant la juge magistrate Ona T. Wang. Par ailleurs, les forces de l’ordre ont saisi environ 31 millions de dollars en cryptomonnaies le 24 février 2025, en vertu d’un mandat de saisie autorisé par la justice.

Ce long intervalle entre les attaques présumées de 2021 et la saisie ultérieure est courant dans la lutte contre la criminalité crypto : les transactions restent visibles même si l’identité derrière une adresse n’est pas immédiatement établie.

D’un exploit crypto aux cartes Pokémon

L’acte d’accusation décrit un parcours allant de l’exploitation du contrat à la dépense, et non un simple solde élevé dans un portefeuille. Les procureurs allèguent qu’après avoir obtenu les cryptomonnaies, Spalletta les a déplacées via une série complexe de transactions à travers divers portefeuilles et blockchains, incluant un passage par Tornado Cash. Le communiqué ne fournit pas de traçage complet, transaction par transaction.

Les achats présumés rendent cette affaire particulièrement concrète. Le DOJ affirme que les fonds ont financé une carte Black Lotus du jeu Magic: The Gathering pour environ 500 000 dollars, ainsi que 18 boosters scellés de l’édition Alpha pour environ 1,51 million de dollars. La liste mentionne également une boîte de boosters Pokémon de la première édition scellée, estimée à 257 500 dollars, et un ensemble de base Pokémon de la première édition complet pour environ 750 000 dollars.

Les dépenses en crypto ne se sont pas limitées aux cartes Pokémon. L’acte d’accusation identifie un morceau de tissu provenant de l’avion original des frères Wright, emporté plus tard sur la Lune par l’astronaute Neil Armstrong, acheté pour environ 137 500 dollars, ainsi qu’un Denier Eid Mar commémorant l’assassinat de Jules César, acquis pour environ 601 545 dollars.

Le communiqué précise que des photographies de la carte Black Lotus, du morceau de tissu et de certaines pièces de monnaie étaient associées à des objets saisis au domicile de Spalletta lors d’une perquisition autorisée par la justice.

Ces détails constituent les allégations du gouvernement et non un compte rendu prouvé de l’identité du payeur pour chaque article ou du portefeuille ayant financé chaque achat. Le communiqué du DOJ ne confirme pas que 26 millions de dollars ont transité par Tornado Cash, un chiffre apparu dans des rapports complémentaires. Ce montant ne doit pas être considéré comme établi par l’annonce officielle de l’acte d’accusation elle-même.

Ce parcours est crucial pour les enquêteurs, car la conversion en objets de collection peut créer des registres et des contreparties en dehors de la blockchain. Si les transferts on-chain permettent d’identifier un modèle de mouvement, les dossiers d’achat, les biens saisis et d’autres preuves peuvent potentiellement relier ce modèle à une personne physique. La force probante réside dans la chaîne globale, et non dans un transfert isolé ou un objet de grande valeur.

Cela rend l’affaire pertinente bien au-delà d’Uranium Finance. Si les actifs crypto peuvent circuler rapidement entre les adresses, les conséquences d’un hack DeFi persistent à travers les faillites de plateformes, les actions judiciaires et les efforts de récupération, des années plus tard. Le traçage des actifs volés après d’autres brèches d’échanges présente le même défi : suivre le mouvement n’est pas synonyme de preuve de propriété ou d’intention.