Una giuria federale di Manhattan ha condannato Jonathan Spalletta per frode informatica e riciclaggio per due hack dell'aprile 2021 che hanno drenato oltre 50 milioni di dollari dall'exchange decentralizzato Uranium Finance — una sentenza che respinge l'argomento del "code is law" che ha talvolta protetto gli sfruttatori di smart contract dalla condanna.

Colpevole per tutti i capi d'imputazione

L'ufficio del procuratore degli Stati Uniti per il distretto meridionale di New York ha annunciato mercoledì (dichiarazione) che Spalletta, che usava anche gli pseudonimi online "Cthulhon" e "Jspalletta", è stato dichiarato colpevole per tutti i capi dell'imputazione. Il verdetto è seguito a un processo davanti al giudice distrettuale degli Stati Uniti Jed S. Rakoff che il Dipartimento di Giustizia ha descritto come durato sei giorni.

I giurati hanno reso la loro decisione dopo circa due ore di deliberazioni, secondo Inner City Press, che ha riportato in diretta su X i procedimenti dal tribunale dell'SDNY.

Il procuratore degli Stati Uniti Jamie McDonald ha dichiarato nel comunicato dell'ufficio che Spalletta ha ripetutamente "sfruttato vulnerabilità nel codice di una piattaforma di criptovalute decentralizzata" per rubare decine di milioni di dollari.

Due exploit nell'aprile 2021

Uranium Finance, un protocollo che consente agli utenti di depositare e scambiare criptovalute tramite pool di liquidità, è stato attaccato due volte da Spalletta nell'aprile 2021. Le violazioni sono avvenute in un anno in cui gli exploit di smart contract hanno ripetutamente prosciugato protocolli DeFi in tutto il settore.

Il primo attacco è avvenuto l'8 aprile 2021, quando ha utilizzato un insieme ciclico di transazioni contro lo smart contract di Uranium per rivendicare molti più token di ricompensa di quelli dovutigli. Ha ripetuto il processo fino ad aver prelevato circa 1,4 milioni di dollari, prosciugando ricompense del pool.

Una violazione ancora più ampia è avvenuta il 28 aprile 2021, quando Spalletta ha sfruttato un difetto nel contratto che controllava quanto potesse prelevare, prendendo di mira 26 pool di liquidità distinti. L'annuncio originale di accusa del DOJ (documento) ha dichiarato che Spalletta si è appropriato di circa 53,3 milioni di dollari in quell'attacco, lasciando Uranium senza i fondi necessari per continuare a operare.

Gli inquirenti hanno dichiarato che circa due settimane dopo il primo exploit, Spalletta ha scritto a un conoscente di aver realizzato "una rapina in criptovalute da 1,5 milioni di dollari", spiegando che c'era "un bug in uno smart contract" che aveva sfruttato, aggiungendo poi che "comunque le crypto sono tutti soldi internet finti".

Dopo quel primo hack, secondo gli inquirenti, ha fatto pressioni su Uranium per trattenere circa 386.000 dollari come "bug bounty". Il DOJ ha definito l'accordo una farsa offerta solo per proteggere Spalletta dall'azione penale.

La difesa del "code is law" funziona in tribunale?

La teoria del "code is law" sostiene che tutto ciò che uno smart contract consente è lecito. Ha ottenuto una rara vittoria a maggio 2025, quando un giudice ha sospeso le condanne per frode ai danni dell'exploiter di Mango Markets Avraham Eisenberg, stabilendo in parte che la piattaforma non aveva termini che dichiarassero illecito il suo comportamento. Gli inquirenti stanno attualmente facendo appello contro tale ribaltamento.

In un'udienza di marzo 2026, un avvocato di uno dei "fratelli MEV", accusati di uno schema Ethereum da 25 milioni di dollari, ha citato la sentenza Eisenberg come precedente per il loro caso.

Nonostante questa storia, il rapido verdetto di colpevolezza contro Spalletta suggerisce che almeno una giuria non è rimasta influenzata dall'idea che sfruttare un difetto nel codice on-chain sia qualcosa di diverso dal furto. Con l'appello degli inquirenti nel caso Eisenberg pendente e il procedimento contro i fratelli MEV in corso, fino a che punto la teoria possa reggere in tribunale resta una questione irrisolta.

Come sono state spese le criptovalute riciclate

Gli inquirenti hanno dichiarato che Spalletta ha speso i fondi riciclati in collezionibili di pregio, tra cui una carta "Black Lotus" di Magic: The Gathering per circa 500.000 dollari, buste sigillate di carte Alpha Booster di Magic per circa 1,5 milioni di dollari, e una scatola sigillata di carte Pokémon Booster di prima edizione per circa 257.500 dollari, tra le altre cose.

Ha anche acquistato una moneta romana "Eid Mar" coniata per commemorare l'assassinio di Giulio Cesare per circa 601.500 dollari. Gli acquisti avrebbero incluso anche un pezzo di tessuto dall'aereo originale dei fratelli Wright che Neil Armstrong portò sulla Luna.

Le autorità hanno sestrato circa 31 milioni di dollari in criptovalute legate all'exploit a febbraio 2025 — quasi quattro anni dopo il primo hack — e l'imputazione di marzo ha segnato la prima volta che un imputato è stato reso pubblicamente noto nell'indagine rimasta a lungo dormiente. Spalletta, 36 anni, di Rockville, Maryland, si è costituito quando le accuse sono state rese pubbliche e ora affronta la sentenza in un caso iniziato più di quattro anni prima del verdetto.

Fonte: Cryptopolitan