Eine Jury in Manhattan hat Jonathan Spalletta wegen Computerbetrugs und Geldwäsche im Zusammenhang mit zwei Hacks der dezentralen Kryptobörse Uranium Finance aus dem Jahr 2021 schuldig gesprochen, bei denen mehr als 50 Millionen US-Dollar erbeutet wurden, teilten Bundesstaatsanwälte am Mittwoch mit. Das Urteil behandelt einen vollständig durch Transaktionen gegen einen Smart Contract ausgeführten Exploit — also Code, der Transaktionen an dezentralen Börsen automatisch abwickelt — als herkömmlichen Computerbetrug. Diese Einordnung hoben die Staatsanwälte selbst bei der Bekanntgabe des Schuldspruchs hervor.

Spalletta, 36, aus Rockville im US-Bundesstaat Maryland, wurde im März wegen der Exploits angeklagt. Nach einem sechstägigen Prozess vor dem US-Bezirksrichter Jed S. Rakoff wurde er in allen Anklagepunkten schuldig gesprochen. Ihm drohen maximal 10 Jahre Haft wegen Computerbetrugs und 20 Jahre wegen Geldwäsche; die Strafmaßverkündung durch Rakoff steht noch aus.

Die US-Staatsanwaltschaft für den Southern District of New York gab das Urteil in einem Beitrag auf X bekannt:

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of the Office and our agency partners have done outstanding work to ensure Spaletta’s virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Zwei Exploits innerhalb von drei Wochen

Beim ersten Hack am 8. April 2021 wiederholte Spalletta laut Staatsanwaltschaft eine Reihe von Transaktionen mit dem Smart Contract von Uranium, um weitaus mehr Prämien abzuheben, als ihm zustanden. Dabei erbeutete er rund 1,4 Millionen US-Dollar. Anschließend setzte er die Börse unter Druck, ihm rund 386.000 US-Dollar als sogenannte fingierte „Bug-Bounty“-Zahlung zu überlassen — eine Anspielung auf die branchenübliche Vergütung von Sicherheitsforschern, die Schwachstellen nach bestem Wissen melden — und im Gegenzug den Rest zurückzugeben.

Zwei Wochen nach diesem Hack schrieb er einer anderen Person: "I did a crypto heist of $1.5MM a couple of weeks ago . . . There was a bug in a smart contract, and I exploited it . . . Crypto is all fake internet money anyway."

Am 28. April 2021 nutzte er einen Fehler bei der Berechnung von Abhebungen über mehrere Liquiditätspools aus — gemeinsame Reserven aus von Nutzern eingezahlten Mitteln, auf die dezentrale Börsen zur Abwicklung von Transaktionen angewiesen sind. Dabei erbeutete er rund 53,3 Millionen US-Dollar und zwang Uranium wegen fehlender Mittel zur Einstellung des Betriebs.

„Spalettas Verbrechen führten dazu, dass echte Menschen echtes Geld verloren — mehr als 50 Millionen US-Dollar — und eine gesamte Kryptoplattform zusammenbrach“, sagte US-Staatsanwalt Jamie McDonald.

Black Lotus, Pokémon-Karten und eine römische Münze

Spalletta wusch die gestohlenen Gelder über eine Reihe von Transaktionen, unter anderem über den Krypto-Mixing-Dienst Tornado Cash, der Coins bündelt und vermischt, um ihre Herkunft zu verschleiern. Anschließend gab er die Erlöse für Sammlerstücke aus, darunter Magic: The Gathering- und Pokémon-Karten, teilten die Staatsanwälte mit.

Zu seinen Käufen von Magic: The Gathering gehörte eine Black Lotus, eine der begehrtesten Karten des Spiels, für rund 500.000 US-Dollar sowie 18 versiegelte Packungen Alpha-Booster-Karten aus dem Debütjahrgang des Spiels von 1993 für rund 1,5 Millionen US-Dollar. Für Pokémon zahlte er rund 750.000 US-Dollar für ein vollständiges Basis-Set der ersten Edition aus der ursprünglichen Veröffentlichung des Kartenspiels sowie rund 257.500 US-Dollar für eine versiegelte Box mit Boosterpackungen der ersten Edition.

Außerdem kaufte er für rund 601.545 US-Dollar einen Eid-Mar-Denar — eine unter Brutus im Jahr 42 v. Chr. geprägte römische Münze zum Gedenken an die Ermordung Julius Caesars — sowie für rund 137.500 US-Dollar ein Stück Stoff aus dem ursprünglichen Flugzeug der Wright-Brüder, das Neil Armstrong zum Mond mitnahm.

Die Black Lotus, der Stoff und einige der Münzen wurden laut Staatsanwaltschaft im Rahmen eines Durchsuchungsbeschlusses aus seinem Haus beschlagnahmt. Im Februar 2025 beschlagnahmten die Behörden außerdem Kryptowährungen aus den Uranium-Hacks, die zum Zeitpunkt der Beschlagnahmung rund 31 Millionen US-Dollar wert waren — eine Sicherstellung trotz der Verschleierung, die der Einsatz des Mixing-Dienstes bewirken sollte.

Die Staatsanwälte haben alle Personen, die glauben, Opfer der Uranium-Hacks geworden zu sein, gebeten, sich unter UraniumVictims@hsi.dhs.gov an Homeland Security Investigations zu wenden. Dies zeigt, dass die Behörden weiterhin versuchen, alle von den Exploits betroffenen Personen zu identifizieren.

Die vollständige Mitteilung der US-Staatsanwaltschaft für den Southern District of New York ist auf der Website des Justizministeriums verfügbar. Die Strafmaßverkündung vor Rakoff wird der nächste wichtige Schritt in einem Verfahren sein, das mit zwei Exploits im Abstand von drei Wochen im Frühjahr 2021 begann.