Een federale jury in Manhattan heeft Jonathan Spalletta schuldig bevonden aan computerfraude en witwassing voor twee hacks in april 2021 waarbij meer dan $50 miljoen van gedecentraliseerde beurs Uranium Finance werd opgezogen — een vonnis dat het 'code is law'-argument verwerpt, dat exploitanten van smart contracts soms heeft behoed voor een veroordeling.

Schuldig op elk punt

Het parket van de Amerikaanse aanklager voor het zuidelijke district van New York maakte woensdag bekend (verklaring) dat Spalletta, die ook de online namen "Cthulhon" en "Jspalletta" gebruikte, schuldig werd bevonden op elk punt van de aanklacht. Het vonnis volgde op een proces voor districtsrechter Jed S. Rakoff dat het Ministerie van Justitie omschreef als zes dagen durend.

De juryleden kwamen na circa twee uur beraadslagaging met hun beslissing, volgens Inner City Press, dat de procedure vanaf de rechtbank van SDNY live versloeg.

Aanklager Jamie McDonald zei in de verklaring van het parket dat Spalletta herhaaldelijk "kwetsbaarheden in de code van een gedecentraliseerd cryptoplatform" uitbuitte om tientallen miljoenen dollars te stelen.

Twee exploits in april 2021

Uranium Finance, een protocol waarmee gebruikers cryptocurrencies kunnen storten en ruilen via liquiditeitspools, werd in april 2021 tweemaal door Spalletta aangevallen. De inbreuken vonden plaats in een jaar waarin exploits van smart contracts herhaaldelijk DeFi-protocollen in de hele sector leegtrokken.

De eerste aanval vond plaats op 8 april 2021, toen hij een lus van transactieste tegen Uranium's smart contract om veel meer reward-tokens op te eisen dan hem toekwam. Hij herhaalde het proces totdat hij ongeveer $1,4 miljoen had opgenomen en de beloningen van de pool had leeggetrokken.

Een nog grotere inbreuk volgde op 28 april 2021, toen Spalletta een fout in het contract uitbuitte dat bepaalde hoeveel hij kon opnemen, gericht op 26 afzonderlijke liquiditeitspools. De oorspronkelijke aanklachtaankondiging van het DOJ (document) stelde dat Spalletta bij die aanval ongeveer $53,3 miljoen buitmaakte en Uranium zonder de middelen achterliet om door te blijven opereren.

Aanklagers zeiden dat Spalletta ongeveer twee weken na de eerste exploit aan een kennis schreef dat hij "een crypto-kraak van $1,5 miljoen" had uitgevoerd, uitlegde dat er "een bug in een smart contract" zat die hij had uitgebuit, en eraan toevoegde dat "Crypto toch allemaal nep-internetgeld is."

Na die eerste hack dwong hij Uranium, volgens aanklagers, om hem ongeveer $386.000 te laten houden als "bug bounty." Het DOJ karakteriseerde die regeling als een schijnconstructie die alleen werd aangeboden om Spalletta aan vervolging te onttrekken.

Werkt de 'code is law'-verdediging in de rechtszaal?

De 'code is law'-theorie houdt in dat alles wat een smart contract toestaat geoorloofd is. De theorie boekte in mei 2025 een zeldzame overwinning, toen een rechter de fraud veroordelingen van Avraham Eisenberg, die Mango Markets uitbuitte, schorste, onder meer oordelend dat het platform geen voorwaarden bevatte die zijn gedrag verbood. Aanklagers zijn momenteel in beroep tegen die omkering.

Tijdens een zitting in maart 2026 gebruikte de advocaat van een van de "MEV-broers", verdacht van een Ethereum-regeling van $25 miljoen, de uitspraak in de zaak-Eisenberg als precedent.

Ondanks die geschiedenis suggereert het snelle schuldigvonnis tegen Spalletta dat ten minste één jury niet ontvankelijk was voor het idee dat het uitbuiten van een fout in on-chain code iets anders is dan diefstal. Nu het beroep van aanklagers in de zaak-Eisenberg nog hangende is en de vervolging de MEV-broers loopt, blijft onduidelijk hoe ver de theorie in de rechtszaal kan dragen.

Hoe het gewitte geld werd besteed

Aanklagers zeiden dat Spalletta het gewitte geld besteedde aan hoogwaardige verzamelobjecten, waaronder een "Black Lotus"-kaart van Magic: The Gathering voor ongeveer $500.000, 18 verzegelde pakketten Alpha Booster Magic-kaarten voor ruim $1,5 miljoen en een verzegelde doos Pokémon Booster-kaarten van de eerste editie voor ongeveer $257.500.

Hij kocht ook een Romeinse "Eid Mar"-munt, geslagen ter herdenking van de moord op Julius Caesar, voor ongeveer $601.500. De aankopen omvatten volgens berichten ook een stuk doek van het originele vliegtuig van de gebroeders Wright dat Neil Armstrong naar de Maan meenam.

De autoriteiten namen in februari 2025 ongeveer $31 miljoen aan cryptocurrency in beslag die met de exploit samenhing — bijna vier jaar na de eerste hack — en de aanklacht in maart markeerde de eerste keer dat in het langslappende onderzoek publiekelijk een verdachte werd genoemd. Spalletta, 36, uit Rockville, Maryland, gaf zich over toen de aanklachten werden openbaar gemaakt en wacht nu de strafmaat in een zaak die meer dan vier jaar vóór het vonnis begon.

Bron: Cryptopolitan