Манхэттенское жюри присяжных признало Джонатана Спаллетту виновным в компьютерном мошенничестве и отмывании денег за две атаки 2021 года на децентрализованную криптобиржу Uranium Finance, в результате которых было похищено более $50 млн, сообщили в среду федеральные прокуроры. Вердикт квалифицирует эксплойт, полностью реализованный через транзакции со смарт-контрактом — самоисполняемым кодом, обеспечивающим расчеты сделок на децентрализованных биржах, — как обычное компьютерное мошенничество; именно такую квалификацию прокуроры сами подчеркнули при объявлении обвинительного вердикта.

Спаллетта, 36 лет, из Роквилла, штат Мэриленд, был обвинен по этим делам в марте. Он признан виновным по всем пунктам после шестидневного процесса в федеральном суде под председательством окружного судьи США Джеда С. Ракоффа и грозит ему максимальное наказание в виде 10 лет лишения свободы за компьютерное мошенничество и 20 лет за отмывание денег; вынесение приговора судьей Ракоффом еще предстоит.

Прокуратура Южного округа Нью-Йорка объявила о вердикте в публикации на X:

Джонатан Спаллетта признан виновным в хищении более $50 млн у криптобиржи путем взлома: "Наши прокуроры и наши партнеры из ведомств проделали выдающуюся работу, чтобы преступные действия Спаллетты в виртуальном мире завершились его уголовным осуждением в реальном мире", — заявила про… — US Attorney SDNY (@SDNYnews) 7 октября 2026 г.

Две атаки с интервалом в три недели

В ходе первого взлома 8 апреля 2021 года Спаллетта, по данным прокуроров, повторил серию транзакций со смарт-контрактом Uranium, чтобы вывести гораздо больше вознаграждений, чем ему полагалось, похитив около $1,4 млн. Затем он вынудил биржу разрешить ему оставить около $386 000 в качестве того, что прокуроры назвали фиктивной «программой вознаграждения за найденные уязвимости» (bug bounty) — намек на принятую в индустрии практику выплат исследователям, добросовестно сообщающим об уязвимостях, — в обмен на возврат остальной суммы.

Через две недели после этого взлома он написал другому человеку: «Пару недель назад я провернул криптоограбление на $1,5 млн… В смарт-контракте был баг, и я им воспользовался… Крипта — вообще фейковые интернет-деньги».

28 апреля 2021 года он воспользовался ошибкой в расчете выводов средств между несколькими пулами ликвидности — общими резервами внесенных пользователями средств, на которые опираются децентрализованные биржи для обеспечения торговли — похитив около $53,3 млн и вынудив Uranium прекратить работу из-за нехватки средств.

«Преступления Спаллетты привели к тому, что реальные люди потеряли реальные деньги — более $50 млн — и стали причиной краха целой криптоплатформы», — заявила федеральный прокурор Джейми Макдональд.

Black Lotus, карты Pokémon и римская монета

Спаллетта отмыл похищенные средства через серию транзакций, в том числе через криптовалютный миксер Tornado Cash, который объединяет и перемешивает монеты для сокрытия их происхождения, а затем потратил их на коллекционные предметы, включая карты Magic: The Gathering и Pokémon, сообщили прокуроры.

Среди его покупок Magic: The Gathering — карта Black Lotus, одна из самых востребованных в игре, за около $500 000, а также 18 запечатанных наборов карт Alpha Booster из дебютного сета игры 1993 года за около $1,5 млн. На карты Pokémon он заплатил около $750 000 за полный базовый набор первого издания из оригинального релиза игры и около $257 500 за запечатанную коробку бустер-паков первого издания.

Он также приобрел денарий Eid Mar — римскую монету, отчеканенную в 42 году до н. э. при Бруте в честь убийства Юлия Цезаря, — за около $601 545, а также кусок ткани с оригинального самолета братьев Райт, который Нил Армстронг взял на Луну, за около $137 500.

Black Lotus, ткань и часть монет были изъяты из его дома по ордеру на обыск, сообщили прокуроры. В феврале 2025 года власти также изъяли криптовалюту, связанную со взломами Uranium, стоившую на момент изъятия около $31 млн — возвращение, достигнутое несмотря на маскировку, которую должен был обеспечить этап с миксером.

Прокуроры попросили всех, кто считает себя жертвой взломов Uranium, связаться с Homeland Security Investigations по адресу UraniumVictims@hsi.dhs.gov — эта мера сигнализирует о том, что власти продолжают работу по выявлению всех пострадавших от атак.

Полное заявление прокуратуры Южного округа Нью-Йорка опубликовано на сайте Министерства юстиции. Вынесение приговора судьей Ракоффом станет следующим этапом дела, которое началось с двух атак с интервалом в три недели весной 2021 года.