Eine US-Jury hat Jonathan Spalletta, online bekannt unter den Namen Jspalletta und Cthulhon, wegen des Diebstahls von mehr als 53 Millionen US-Dollar von der dezentralen Plattform Uranium Finance verurteilt, nachdem er diese im April 2021 zweimal gehackt hatte. Spalletta drohen bis zu 10 Jahre Haft wegen Computerbetrugs und 20 Jahre wegen Geldwäsche.
Zwei getrennte Exploits von Smart Contracts
Uranium Finance war ein automatisierter Market Maker auf der BNB Chain. Beim ersten Angriff am 8. April 2021 nutzte Spalletta einen Fehler im Code eines Smart Contracts aus, der es ihm ermöglichte, Auszahlungsaufträge für null Token auszuführen. Dadurch musste die Plattform Belohnungen auszahlen, auf die kein Anspruch bestand. Dies führte zum Abzug von rund 1,4 Millionen US-Dollar aus dem Liquiditätspool.
Anschließend erpresste er die Plattform um fast 386.000 US-Dollar, die er als angebliche Bug-Bounty-Prämie bezeichnete, im Gegenzug für die Rückgabe der übrigen gestohlenen Gelder.
Drei Wochen später nutzte er einen separaten Programmierfehler in der Logik zur Transaktionsprüfung aus. Das System verwendete den Wert 1.000 statt 10.000, wodurch er fast 90 % der in den Liquiditätspools vorhandenen Vermögenswerte abziehen konnte, während er nahezu null einzahlte. Insgesamt erlangte er rund 53,3 Millionen US-Dollar – den Großteil der Vermögenswerte der Plattform, die wegen des Liquiditätsmangels sofort schließen musste.
Verfolgung der Gelder und Rückgewinnung eines Teils
Spalletta leitete die gestohlenen Kryptowährungen über den Mixer Tornado Cash und mehrere dezentrale Börsen. Der Krypto-Betrugsermittler ZachXBT brachte im Dezember 2023 mehr als 11.200 aus Tornado Cash abgezogene ETH mit dem Hacker in Verbindung. Sie waren damals 25 Millionen US-Dollar wert.
Er gab das Geld für hochwertige Sammlerstücke aus, darunter 18 versiegelte Packungen der Alpha-Booster-Karten von Magic im Wert von rund 1,5 Millionen US-Dollar, eine Erstausgabe der Pokémon-Basisset-Sammlung im Wert von etwa 750.000 US-Dollar und eine Black-Lotus-Karte von Magic: The Gathering im Wert von rund 500.000 US-Dollar. Hinzu kam eine antike römische Münze, die an die Ermordung Julius Caesars erinnert und mehr als 601.000 US-Dollar wert war.
Die Behörden beschlagnahmten diese Sammlerstücke im Februar 2025 aus Spallettas Haus und stellten außerdem Kryptowährungen im Wert von rund 31 Millionen US-Dollar aus mit ihm verbundenen Wallets sicher.
Warum ist diese Nachricht wichtig?
Der Fall zeigt, dass ein begrenzter Fehler in der Logik eines Smart Contracts, etwa die Verwendung eines falschen Zahlennennerwerts, zu einem nahezu vollständigen Verlust der Vermögenswerte einer dezentralen Finanzplattform führen kann. Er zeigt außerdem, dass das Verbergen des Geldflusses über Mixer-Dienste und dezentrale Plattformen nicht zwangsläufig verhindert, dass Transaktionen mit der Identität eines Verdächtigen in Verbindung gebracht werden können. Das Urteil ändert jedoch nichts an der Tatsache, dass die Rückgewinnung der Gelder davon abhängt, was tatsächlich identifiziert und beschlagnahmt werden kann.
Der US-Staatsanwalt Jamie McDonald erklärte, das Verbrechen habe den Opfern reale Verluste zugefügt und den Zusammenbruch der Kryptoplattform verursacht. Er wies die Verharmlosung digitaler Vermögenswerte als „falsches Internetgeld“ zurück.