La justicia atrapó, cinco años después, a un hacker que robó 53 millones de dólares de Uranium Finance.
En vez de una vida tranquila a costa del dinero ajeno, todo acabó convertido en una historia de juguetes de lujo.
Los millones robados a la casa de cambio de criptomonedas terminaron convertidos en cartas Pokémon raras, Black Lotus y una moneda romana antigua. El 7 de octubre un jurado en Nueva York declaró culpable a Jonathan Spalletta, de 36 años, por fraude informático y blanqueo de capitales tras dos intrusiones en Uranium Finance en abril de 2021. La fiscalía federal informó, que el veredicto fue por todos los cargos tras un juicio de seis días.
Uranium Finance operaba como un intercambio descentralizado con pools de liquidez, donde los intercambios se ejecutaban mediante contratos inteligentes. El primer hack ocurrió el 8 de abril de 2021. Spalletta encontró un error en la lógica de cálculo de las recompensas y, con una serie de transacciones, extrajo alrededor de $1,4 millones. Más tarde consiguió de la plataforma una supuesta «recompensa por bug» de unos $386 mil a cambio de devolver el resto de lo sustraído.
El segundo ataque, el 28 de abril, resultó devastador. El análisis del ataque muestra que un error en el código provocaba que la verificación de transacciones usara un coeficiente de 1000 en lugar de 10000. El defecto permitió vaciar casi el 90% de los fondos de 26 pools de liquidez, prácticamente sin aportar tokens propios. Spalletta obtuvo alrededor de $53,3 millones, tras lo cual Uranium Finance suspendió operaciones.
La investigación determinó que, tras el robo, Spalletta movió los activos por varias plataformas descentralizadas y por Tornado Cash, que mezcla flujos de criptomonedas y dificulta rastrear las transferencias. Parte del dinero se destinó a objetos de colección. Entre las compras estaban una carta Black Lotus por unos $500 mil, un lote de Pokémon de primera edición por $750 mil y 18 paquetes sellados Alpha Booster por $1,5 millones.
La lista fue aún más extraña: más de $601 mil que Spalletta pagó por un denario romano dedicado al asesinato de Julio César, y $137,5 mil por un fragmento de tela del avión de los hermanos Wright que Neil Armstrong llevó a la Luna. Las autoridades incautaron parte de la colección y, en febrero de 2025, confiscaron alrededor de $31 millones en criptomonedas de monederos vinculados.
La identidad del presunto intruso se hizo pública en la primavera de 2026, cuando Spalletta se entregó a las autoridades. Tras la acusación de marzo, los documentos del caso vincularon los seudónimos «Cthulhon» y «Jspalletta» con los ataques a Uranium Finance. Ahora la posición de la fiscalía ha sido confirmada por el jurado, que declaró a Spalletta culpable de los dos cargos presentados.
Por fraude informático, a Spalletta le pueden imponer hasta 10 años de prisión; por blanqueo de capitales, hasta 20 años. Las penas máximas están fijadas por la ley y no significan que el tribunal vaya a aplicarlas en su totalidad ni a sumarlas necesariamente. La sanción concreta la fijará el juez federal Jed Rakoff. Uranium Finance cerró en 2021, y el caso penal llegó a un veredicto condenatorio cinco años después.