Manhattańska ława przysięgłych uznała Jonathona Spallettę za winnego oszustwa komputerowego i prania pieniędzy za przeprowadzenie dwóch włamań w 2021 roku na zdecentralizowaną giełdę kryptowalut Uranium Finance, które doprowadziły do utraty ponad 50 milionów dolarów — poinformowali we środę federalni prokuratorzy. Wyrok traktuje exploit wykonany w całości za pomocą transakcji na smart kontrakcie — samowykonującym się kodzie, który realizuje transakcje na zdecentralizowanych giełdach — jako klasyczne oszustwo komputerowe, taki właśnie akcent prokuratorzy podkreślili ogłaszając skazanie.

Spalletta, 36 lat, z Rockville w stanie Maryland, został oskarżony o ataki w marcu. Został uznany winnym wszystkich zarzutów po sześciodniowym procesie przed sędzią sądu okręgowego Stanów Zjednoczonych Jedem S. Rakoffem i grozi mu maksymalnie 10 lat więzienia za oszustwo komputerowe oraz 20 lat za pranie pieniędzy; wymiar kary przed Rakoffem jeszcze przed nim.

Biuro prokuratora Stanów Zjednoczonych dla południowego dystryktu Nowego Jorku ogłosiło wyrok w poście na X:

Jonathan Spalletta convicted for defrauding crypto exchange of over $50 million in hacks: "Our prosecutors of Office and our agency partners have done outstanding work to ensure Spaletta's virtual world criminal conduct ended in his real-world criminal conviction," said USA… — US Attorney SDNY (@SDNYnews) October 7, 2026

Dwa exploity w odstępie trzech tygodni

Podczas pierwszego włamania, 8 kwietnia 2021 roku, Spalletta powtórzył serię transakcji ze smart kontraktem Uranium, aby wypłacić znacznie więcej nagród, niż mu się należało, zabierając około 1,4 miliona dolarów, według prokuratorów. Następnie zmusił giełdę do pozwolenia mu na zatrzymanie około 386 000 dolarów jako tak zwanej przez prokuratorów pozornej „nagrody za błąd” (bug bounty) — nawiązanie do praktyki branżowej płacenia badaczom, którzy披露ują podatności w dobrej wierze — w zamian za zwrot reszty.

Dwa tygodnie po tym włamaniu napisał do innej osoby: "I did a crypto heist of $1.5MM a couple of weeks ago . . . There was a bug in a smart contract, and I exploited it . . . Crypto is all fake internet money anyway."

28 kwietnia 2021 roku wykorzystał błąd w sposobie obliczania wypłat przez kontrakt w kilku pulach płynności — wspólnych rezerwach środków zdeponowanych przez użytkowników, na których polegają zdecentralizowane giełdy, aby umożliwiać handel — zabierając około 53,3 miliona dolarów i doprowadzając do zamknięcia Uranium z powodu braku środków.

"Spalletta's crimes cost real people to lose real money—over $50 million dollars—and caused an entire crypto platform to collapse," powiedział prokurator Stanów Zjednoczonych Jamie McDonald.

Black Lotus, karty Pokémon i rzymska moneta

Spalletta prał skradzione środki poprzez serię transakcji, w tym przez usługę mieszania kryptowalut Tornado Cash, która puluje i tasuje monety, aby zatrzeć ich pochodzenie, a następnie wydał uzyskane środki na przedmioty kolekcjonerskie, w tym karty Magic: The Gathering i Pokémon, według prokuratorów.

Jego zakupy Magic: The Gathering obejmowały kartę Black Lotus, jedną z najbardziej pożądanych kart w grze, za około 500 000 dolarów, a także 18 zaplombowanych paczek kart Alpha Booster z debiutanckiego zestawu gry z 1993 roku za około 1,5 miliona dolarów. W przypadku Pokémon zapłacił około 750 000 dolarów za kompletny zestaw podstawowy pierwszej edycji z pierwotnego wydania gry karcianej i około 257 500 dolarów za zaplombowaneudełko paczek dodatkowych pierwszej edycji.

Kupił również denara Eid Mar — rzymską monetę wybitą w 42 roku p.n.e. za Brutusa dla upamiętnienia zabójstwa Juliusza Cezara — za około 601 545 dolarów oraz kawałek tkaniny z oryginalnego samolotu braci Wright, który Neil Armstrong zabrał na Księżyc, za około 137 500 dolarów.

Black Lotus, tkanina i część monet zostały zajęte z jego domu na podstawie nakazu przeszukania, według prokuratorów. W lutym 2025 roku władze zajęły również kryptowaluty z włamań na Uranium o wartości około 31 milionów dolarów w momencie zajęcia — odzysk, który nastąpił pomimo utrudnień, jakimi miała zapewnić usługa mieszania.

Prokuratorzy zwrócili się do każdej osoby, która uważa, że padła ofiarą włamań na Uranium, z prośbą o kontakt z Homeland Security Investigations pod adresem UraniumVictims@hsi.dhs.gov — apel sygnalizujący, że władze nadal pracują nad identyfikacją wszystkich poszkodowanych.

Pełne ogłoszenie biura prokuratora Stanów Zjednoczonych dla południowego dystryktu Nowego Jorku jest dostępne na stronie internetowej Departamentu Sprawiedliwości. Wymiar kary przed Rakoffem będzie kolejnym etapem sprawy, która rozpoczęła się od dwóch exploitów w odstępie trzech tygodni wiosną 2021 roku.