Un jurado de Manhattan declaró culpable a Jonathan Spalletta de fraude informático y lavado de dinero por llevar a cabo dos ataques informáticos en 2021 contra el exchange de criptomonedas descentralizado Uranium Finance que drenaron más de 50 millones de dólares, informaron los fiscales federales el miércoles. El veredicto trata una explotación ejecutada íntegramente mediante transacciones contra un contrato inteligente —el código autoejecutable que liquida las operaciones en los exchanges descentralizados— como fraude informático convencional, un encuadre que los propios fiscales destacaron al anunciar la condena.

Spalletta, de 36 años y residente en Rockville, Maryland, fue acusado por las explotaciones en marzo. Fue declarado culpable de todos los cargos tras un juicio de seis días ante el juez federal Jed S. Rakoff, y enfrenta una pena máxima de 10 años de prisión por fraude informático y 20 años por lavado de dinero, con la sentencia ante Rakoff aún pendiente.

La Fiscalía Federal para el Distrito Sur de Nueva York anunció el veredicto en una publicación en X:

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of the Office and our agency partners have done outstanding work to ensure Spaletta's virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Dos explotaciones con tres semanas de diferencia

En el primer ataque, el 8 de abril de 2021, Spalletta repitió una serie de transacciones con el contrato inteligente de Uranium para retirar recompensas muy superiores a las que le correspondían, llevándose alrededor de 1,4 millones de dólares, según los fiscales. Luego presionó al exchange para quedarse con unos 386.000 dólares bajo lo que los fiscales calificaron de un falso "bug bounty" —en referencia a la práctica del sector de pagar a investigadores que revelan vulnerabilidades de buena fe— a cambio de devolver el resto.

Dos semanas después de ese ataque, escribió a otra persona: "I did a crypto heist of $1.5MM a couple of weeks ago . . . There was a bug in a smart contract, and I exploited it . . . Crypto is all fake internet money anyway."

El 28 de abril de 2021, explotó un error en la forma que el contrato calculaba los retiros en varios pools de liquidez —las reservas compartidas de fondos depositados por los usuarios de las que dependen los exchanges descentralizados para facilitar las operaciones—, llevándose unos 53,3 millones de dólares y provocando el cierre de Uranium por falta de fondos.

"Los crímenes de Spalletta hicieron que personas reales perdieran dinero real —más de 50 millones de dólares— y provocaron el colapso de una plataforma cripto completa", dijo la fiscal federal Jamie McDonald.

Black Lotus, cartas de Pokémon y una moneda romana

Spalletta lavó los fondos robados mediante una serie de transacciones, incluido el servicio de mezcla de criptomonedas Tornado Cash, que agrupa y baraja monedas para ocultar su origen, antes de gastar el producto en objetos de colección como cartas de Magic: The Gathering y Pokémon, dijeron los fiscales.

Sus compras de Magic: The Gathering incluyeron una Black Lotus, una de las cartas más codiciadas del juego, por alrededor de 500.000 dólares, así como 18 paquetes sellados de cartas Alpha Booster del set de debut del juego de 1993 por unos 1,5 millones de dólares. En cuanto a Pokémon, pagó unos 750.000 dólares por un set base completo de primera edición del lanzamiento original del juego de cartas y unos 257.500 dólares por una caja sellada de paquetes de refuerzo de primera edición.

También compró un denario Eid Mar —una moneda romana acuñada en el 42 a. C. bajo Bruto para conmemorar el asesinato de Julio César— por unos 601.545 dólares, y una pieza de tela del avión original de los hermanos Wright que Neil Armstrong llevó a la Luna, por unos 137.500 dólares.

La Black Lotus, la tela y algunas de las monedas fueron incautadas en su domicilio mediante una orden de registro, según los fiscales. En febrero de 2025, las autoridades también incautaron criptomonedas provenientes de los ataques a Uranium por unos 31 millones de dólares al momento de la incautación —una recuperación lograda pese a la ofuscación que el paso por el servicio de mezcla estaba diseñado para brindar.

Los fiscales han pedido a quienes crean haber sido víctimas de los ataques a Uranium que se comuniquen con Homeland Security Investigations en UraniumVictims@hsi.dhs.gov, un contacto que indica que las autoridades siguen trabajando para identificar a todos los afectados por las explotaciones.

El anuncio completo de la Fiscalía Federal para el Distrito Sur de Nueva York está disponible en el sitio web del Departamento de Justicia. La sentencia ante Rakoff será el próximo hito en un caso que comenzó con dos explotaciones con tres semanas de diferencia en la primavera de 2021.