Una giuria di Manhattan ha condannato Jonathan Spalletta per frode informatica e riciclaggio di denaro per aver eseguito due hack nel 2021 contro l'exchange di criptovalute decentralizzato Uranium Finance che hanno prosciugato oltre 50 milioni di dollari, hanno detto mercoledì i procuratori federali. La sentenza considera un exploit eseguito interamente tramite transazioni su uno smart contract — il codice autoesecutivo che regola le negoziazioni sugli exchange decentralizzati — come frode informatica tradizionale, una qualifica che i procuratori stessi hanno evidenziato annunciando la condanna.

Spalletta, 36 anni, di Rockville, nel Maryland, è stato incriminato per gli exploit a marzo. È stato dichiarato colpevole su tutti i capi di imputazione dopo un processo di sei giorni davanti al giudice distrettuale federale Jed S. Rakoff e rischia una pena massima di 10 anni di reclusione per frode informatica e 20 anni per riciclaggio di denaro, in attesa della sentenza davanti a Rakoff.

L'ufficio del Procuratore degli Stati Uniti per il Southern District di New York ha annunciato il verdetto in un post su X:

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of the Office and our agency partners have done outstanding work to ensure Spaletta's virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Due exploit a tre settimane di distanza

Nel primo hack, l'8 aprile 2021, Spalletta ha ripetuto una serie di transazioni con lo smart contract di Uranium per prelevare ricompense di gran lunga superiori a quelle a cui aveva diritto, sottraendo circa 1,4 milioni di dollari, secondo i procuratori. Ha poi fatto pressioni sull'exchange per trattenere circa 386.000 dollari in quello che i procuratori hanno definito un falso "bug bounty" — un riferimento alla prassi di settore di pagare i ricercatori che divulgano le vulnerabilità in buona fede — in cambio della restituzione del resto.

Due settimane dopo quell'hack, scrisse a un'altra persona: " fatto una rapina in cripto da 1,5 milioni di dollari un paio di settimane fa . . . C'era un bug in uno smart contract e l'ho sfruttato . . . La cripto comunque è tutta moneta internet finta."

Il 28 aprile 2021 ha sfruttato un errore nel calcolo dei prelievi da parte del contratto attraverso diversi liquidity pool — le riserve condivise di fondi depositati dagli utenti su cui gli exchange decentralizzati si affidano per facilitare le negoziazioni — sottraendo circa 53,3 milioni di dollari e costringendo Uranium a chiudere per mancanza di fondi.

"I crimini di Spalletta hanno causato a persone reali la perdita di denaro reale — oltre 50 milioni di dollari — e hanno provocato il crollo di un'intera piattaforma cripto", ha detto il Procuratore degli Stati Uniti Jamie McDonald.

Black Lotus, carte Pokémon e una moneta romana

Spalletta ha riciclato i fondi rubati attraverso una serie di transazioni, incluso il servizio di mixing cripto Tornado Cash, che raggruppa e mescola le monete per oscurarne l'origine, prima di spendere il ricavo in oggetti da collezione tra cui carte Magic: The Gathering e Pokémon, hanno detto i procuratori.

I suoi acquisti di Magic: The Gathering hanno incluso una Black Lotus, tra le carte più ricercate del gioco, per circa 500.000 dollari, oltre a 18 buste sigillate di carte Alpha Booster del set di debutto del 1993 per circa 1,5 milioni di dollari. Sul fronte Pokémon, ha pagato circa 750.000 dollari per un set base completo di prima edizione della serie originale del gioco di carte e circa 257.500 dollari per una scatola sigillata di buste di prima edizione.

Ha inoltre acquistato un denario Eid Mar — una moneta romana coniata nel 42 a.C. sotto Bruto per commemorare l'assassinio di Giulio Cesare — per circa 601.545 dollari, e un pezzo di stoffa dell'aereo originale dei fratelli Wright che Neil Armstrong portò sulla Luna, per circa 137.500 dollari.

La Black Lotus, la stoffa e alcune delle monete sono state sequestrate a casa sua con un mandato di perquisizione, secondo i procuratori. A febbraio 2025, le autorità hanno inoltre sequestrato criptovalute derivanti dagli hack di Uranium del valore di circa 31 milioni di dollari al momento del sequestro — un recupero avvenuto nonostante l'offuscamento che il ricorso al servizio di mixing era destinato a garantire.

I procuratori hanno chiesto a chiunque ritenga di essere vittima degli hack di Uranium di contattare Homeland Security Investigations all'indirizzo UraniumVictims@hsi.dhs.gov, un'iniziativa che indica come le autorità continuino a lavorare per identificare tutte le persone coinvolte negli exploit.

L'annuncio completo dell'ufficio del Procuratore degli Stati Uniti per il Southern District di New York è disponibile sul sito web del Dipartimento di Giustizia. La sentenza davanti a Rakoff sarà la prossima tappa di un caso iniziato con due exploit a tre settimane di distanza nella primavera del 2021.