แฮกเกอร์ Uranium Finance ถูกตัดสินว่ามีความผิด หลังฉกเงิน 50 ล้านดอลลาร์

คดีปล้นคริปโตที่จบลงด้วยการ์ดหายากและการรับโทษ

ลองจินตนาการว่าคุณขโมยคริปโตได้มากกว่า 50 ล้านดอลลาร์ แล้วลองจินตนาการต่อว่าคุณนำเงินนั้นไปซื้อการ์ดสะสมหายากกับวัตถุโบราณจากอวกาศ

นี่ไม่ใช่บทหนังฮอลลีวูด แต่เป็นเรื่องจริงของ Jonathan Spalletta ชายวัย 36 ปี จากเมือง Rockville รัฐแมรีแลนด์

คณะลูกขุนศาลแห่งรัฐในแมนฮัตตันได้ตัดสินอย่างเป็นทางการว่า Spalletta มีความผิดฐานฉ้อโกงทางคอมพิวเตอร์และการฟอกเงิน หลังจากการพิจารณาคดีนาน 6 วัน

เจาะลึกคดีปล้น: Uranium Finance โดนโจมตีอย่างไร

เรื่องราวเริ่มต้นขึ้นในเดือนเมษายนปี 2021 บน Uranium Finance ซึ่งเป็นแพลตฟอร์มเทรดคริปโตแบบกระจายศูนย์ (DEX)

ศูนย์ซื้อขายแบบกระจายศูนย์ต้องพึ่งพาโค้ดอัตโนมัติที่เรียกว่า สมาร์ตคอนแทร็กต์ (smart contract) และเมื่อโค้ดเหล่านี้มีข้อผิดพลาด แฮกเกอร์ก็สามารถฉวยโอกาสโจมตีได้

Spalletta ไม่ได้โจมตี Uranium Finance แค่ครั้งเดียว แต่เขาถล่มแพลตฟอร์มนี้ถึงสองครั้งภายในเวลาเพียงสามสัปดาห์

การแฮกครั้งที่หนึ่ง: ค่าหัวบั๊กกำมะลอ

เมื่อวันที่ 8 เมษายน 2021 Spalletta ได้ลงมือเจาะระบบเป็นครั้งแรก

เขาทำรายการซ้ำๆ กับสมาร์ตคอนแทร็กต์ของ Uranium ทำให้เขาสามารถถอนผลตอบแทนออกไปได้มากกว่าที่ควรจะได้ รวมเป็นเงินประมาณ 1.4 ล้านดอลลาร์

จากนั้นเขาก็กดดัน Uranium Finance ให้ยินยอมให้เขายึดเงินไว้ราว 386,000 ดอลลาร์ อ้างว่าเป็น bug bounty แบบกำมะลอ ก่อนจะคืนเงินส่วนที่เหลือกลับมา

สองสัปดาห์ต่อมา Spalletta ได้ส่งข้อความส่วนตัวไปอวดเรื่องการปล้นครั้งนี้อย่างสบายใจ

"ผมเพิ่งปล้นคริปโตมาได้ 1.5 ล้านดอลลาร์เมื่อสองอาทิตย์ก่อน . . . สมาร์ตคอนแทร็กต์มันมีบั๊ก ผมเลยจัดซะ . . . ยังไงคริปโตมันก็เป็นแค่เงินอินเทอร์เน็ตปลอมๆ อยู่แล้ว"

การแฮกครั้งที่สอง: สูบเงินเกลี้ยงแพลตฟอร์ม

วันที่ 28 เมษายน 2021 Spalletta ลงมือเป็นครั้งที่สอง ด้วยการโจมตีที่รุนแรงกว่าเดิมมาก

เขาพบข้อผิดพลาดในวิธีการคำนวณการถอนเงินของสมาร์ตคอนแทร็กต์ในสภาพคล่องหลายๆ พูล

เขาใช้ช่องโหว่การคำนวณนี้กวาดเงินไปประมาณ 53.3 ล้านดอลลาร์ ความเสียหายมหาศาลนี้บีบให้ Uranium Finance ต้องปิดตัวลงอย่างสิ้นเชิงเพราะขาดสภาพคล่อง

เปลี่ยนเงินคริปโตจากการปล้น เป็นของสะสมสุดหายาก

หลังจากขโมยเงินไปได้กว่า 50 ล้านดอลลาร์ Spalletta ก็พยายามอำพรางร่องรอยของตัวเอง

เขาฟอกเงินคริปโตที่ขโมยมาผ่านธุรกรรมหลายขั้นตอน ซึ่งรวมถึงการใช้บริการเพิ่มความเป็นส่วนตัวอย่าง Tornado Cash

เมื่อเงินถูกฟอกสะอาดแล้ว เขาเพลิดเพลินกับการกว้านซื้อของสะสมจับต้องได้ราคาแพงลิบลิ่ว

การ์ด Magic: The Gathering

• การ์ด Black Lotus: เขาซื้อการ์ดหายากระดับตำนานใบนี้มาในราคาประมาณ 500,000 ดอลลาร์
• ซอง Alpha Booster: เขาจ่ายเงินไปราว 1.5 ล้านดอลลาร์เพื่อซื้อซอง Alpha Booster แบบยังไม่แกะจำนวน 18 ซอง

ของสะสมโปเกมอน

• การ์ดชุด Complete Base Set: เขาจ่ายเงินไปประมาณ 750,000 ดอลลาร์เพื่อซื้อชุดเบสเซตเวอร์ชันพิมพ์ครั้งแรกแบบครบชุด
• กล่อง Booster Box: เขาใช้เงินไปราว 257,500 ดอลลาร์ซื้อกล่องซองสุ่มพิมพ์ครั้งแรกที่ยังไม่ได้เปิด

วัตถุโบราณทางประวัติศาสตร์

• เหรียญโรมัน: เขาซื้อเหรียญเงิน Eid Mar denarius ซึ่งสร้างขึ้นเพื่อฉลองการสังหาร Julius Caesar มาในราคาประมาณ 601,545 ดอลลาร์
• ผ้าชิ้นส่วนเครื่องบินของสองพี่น้องตระกูล Wright: เขาควักเงินราว 137,500 ดอลลาร์ซื้อชิ้นส่วนผ้าจากเครื่องบินที่ Neil Armstrong เคยนำขึ้นไปบนดวงจันทร์

เจ้าหน้าที่บังคับใช้กฎหมายระดับรัฐเข้าแทรกแซง

การใช้เงินอย่างกว้านซื้อของไม่ได้ช่วยปกป้อง Spalletta จากการสืบสวนของเจ้าหน้าที่ระดับรัฐ

เจ้าหน้าที่นำหมายค้นเข้าตรวจค้นบ้านของเขา และทำการยึด การ์ด Black Lotus, ผ้าชิ้นส่วนดวงจันทร์ และเหรียญกษาปณ์อีกหลายรายการ

ในเดือนกุมภาพันธ์ 2025 เจ้าหน้าที่ยังสามารถยึดคืนคริปโตเคอร์เรนซีที่ถูกขโมยไปกลับมาได้ คิดเป็นมูลค่าประมาณ 31 ล้านดอลลาร์ในขณะที่ทำการยึด

ผลการดำเนินงานในอดีตของสินทรัพย์ดิจิทัลไม่ได้เป็นสิ่งรับประกันถึงผลลัพธ์ในอนาคต และมูลค่าตลาดอาจเปลี่ยนแปลงได้อย่างรวดเร็วเมื่อเวลาผ่านไป

คำตัดสินของศาลและโทษจำคุกที่อาจได้รับ

Spalletta ถูกฟ้องร้องในเดือนมีนาคม และเข้ารับการพิจารณาคดีต่อหน้าผู้พิพากษาศาลเขตสหรัฐฯ Jed S. Rakoff

คณะลูกขุนแมนฮัตตันมีความเห็นว่าเขาผิดจริงในทุกข้อหา

ขณะนี้เขาต้องเผชิญโทษจำคุกเป็นระยะเวลานานจากความผิดเหล่านี้:

• จำคุกสูงสุด 10 ปี สำหรับความผิดฐานฉ้อโกงทางคอมพิวเตอร์
• จำคุกสูงสุด 20 ปี สำหรับความผิดฐานฟอกเงิน

เจ้าหน้าที่ชี้ผลกระทบอันหนักหน่วงต่อเหยื่อ

อัยการฝ่ายรัฐย้ำว่า การโจรกรรมทางไซเบอร์ส่งผลกระทบโดยตรงต่อนักลงทุนทั่วไป

อาชญากรรมของ Spalletta ทำให้คนจริงๆ ต้องสูญเสียเงินจริงๆ ไปมากกว่า 50 ล้านดอลลาร์ และเป็นสาเหตุให้แพลตฟอร์มคริปโตทั้งแพลตฟอร์มต้องพังทลายลง

สำนักงานอัยการสหรัฐฯ เขตใต้แห่งนิวยอร์ก ได้กล่าวชื่นชมหน่วยงานพันธมิตรผู้บังคับใช้กฎหมาย ที่ร่วมกันตามล่าอาชญากรรมในโลกดิจิทัลจนมาถึงในโลกแห่งความเป็นจริง

"พนักงานอัยการของสำนักงานเราและหน่วยงานพันธมิตรทำผลงานได้อย่างยอดเยี่ยม เพื่อให้มั่นใจว่าการกระทำผิดในโลกเสมือนของ Spalletta จะจบลงด้วยการรับโทษทางอาญาในโลกแห่งความเป็นจริง"

สิ่งที่จะเกิดขึ้นต่อไปสำหรับเหยื่อ

การเจาะระบบ DeFi สร้างความเสียหายต่อระบบนิเวศทั้งหมด และส่งผลกระทบต่อผู้ใช้ที่ฝากสินทรัพย์ไว้ในพูลสภาพคล่อง

หน่วยงานสืบสวนความมั่นคงแห่งชาติ (HSI) กำลังเปิดรับและสนับสนุนให้ใครก็ตามที่สูญเสียเงินจากการถูกเจาะระบบของ Uranium Finance ติดต่อทีมงานของพวกเขา

การติดต่อนักสืบสวนจะช่วยให้หน่วยงานระดับรัฐสามารถบันทึกข้อมูลผู้เสียหายได้อย่างถูกต้อง ขณะที่กระบวนการยึดคืนสินทรัพย์ดำเนินต่อไป