Los fiscales estadounidenses han acusado a un hombre de Maryland de robar más de 53 millones de dólares tras piratear dos veces el exchange de criptomonedas Uranium Finance y blanquear las ganancias a través de un mezclador de criptomonedas.
Jonathan Spalletta, de 36 años, conocido en línea como "Cthulhon" y "Jspalletta", compareció ante el tribunal ante la jueza magistrada Ona T. Wang después de entregarse a las autoridades el lunes.
Spalletta pirateó el exchange descentralizado Uranium (que operaba como un creador de mercado automatizado en la cadena BNB de Binance) en abril de 2021, lo que obligó a la empresa a cerrar por falta de fondos después de robar aproximadamente 53,3 millones de dólares en criptomonedas.
"Según lo alegado, Jonathan Spalletta pirateó repetidamente contratos inteligentes para robar millones de dólares en dinero ajeno para sí mismo y destruyó un exchange de criptomonedas en el proceso", dijo el fiscal de EE. UU., Jay Clayton.
De acuerdo con la acusación formal, el acusado llevó a cabo dos ataques separados. Durante la primera violación, el 8 de abril, Spalletta explotó una falla en el código del contrato inteligente de Uranium, utilizando la variable AmountWithBonus para emitir comandos de retiro de tokens cero que obligaron al exchange a pagar recompensas a las que no tenía derecho, drenando aproximadamente 1,4 millones de dólares del fondo de liquidez.
Spalletta extorsionó a Uranium para que le asignara casi 386.000 dólares de los fondos robados como una falsa "recompensa por errores" a cambio de devolver el resto al exchange de criptomonedas.
Tres semanas después, el 28 de abril, atacó de nuevo, explotando un error de codificación de un solo carácter que hizo que la lógica de verificación de transacciones de Uranium usara 1.000 en lugar de 10.000. Esto permitió a Spalletta retirar casi el 90% de los activos mantenidos en 26 fondos de liquidez separados mientras depositaba efectivamente cero tokens, obteniendo aproximadamente 53,3 millones de dólares y obligando al exchange de criptomonedas a cerrar inmediatamente.
Spalletta blanqueó los activos cripto robados a través de múltiples exchanges descentralizados mediante el mezclador de criptomonedas Tornado Cash y gastó las ganancias en una amplia gama de artículos, incluyendo una carta "Black Lotus" de Magic: The Gathering por aproximadamente 500.000 dólares, 18 paquetes sellados de cartas Magic Alpha Booster por alrededor de 1,5 millones de dólares, una colección completa de primera edición de Pokémon base por aproximadamente 750.000 dólares, y una moneda romana antigua que conmemora el asesinato de Julio César por más de 601.000 dólares.
En diciembre de 2023, el investigador de fraudes cripto ZachXBT fue el primero en vincular más de 11.200 ETH retirados de Tornado Cash (valorados en 25 millones de dólares en ese momento) con el hacker de Uranium.
Las autoridades incautaron los objetos de colección de su residencia en febrero de 2025 bajo una orden de registro autorizada por el tribunal y recuperaron aproximadamente 31 millones de dólares en criptomonedas de billeteras vinculadas a Spalletta.
Spalletta ahora enfrenta hasta 10 años de prisión por un cargo de fraude informático y hasta 20 años si es declarado culpable de blanqueo de dinero.
