Un jurado estadounidense condenó a Jonathan Spalletta, conocido en internet como Jspalletta y Cthulhon, por robar más de 53 millones de dólares de la plataforma descentralizada Uranium Finance tras piratearla dos veces en abril de 2021. Spalletta se enfrenta a una pena de hasta 10 años por fraude informático y 20 años por blanqueo de capitales.
Dos explotaciones independientes de los contratos inteligentes
Uranium Finance era un creador de mercado automatizado que operaba en la cadena BNB. En el primer ataque, el 8 de abril de 2021, Spalletta aprovechó un fallo en el código de un contrato inteligente que le permitió emitir órdenes de retirada por un valor de tokens igual a cero, lo que obligó a la plataforma a pagar recompensas que no le correspondían. Como resultado, retiró aproximadamente 1,4 millones de dólares del fondo de liquidez.
Después, extorsionó a la plataforma para obtener aproximadamente 386.000 dólares bajo el pretexto de una falsa recompensa por descubrir una vulnerabilidad, a cambio de devolver el resto de los fondos robados.
Tres semanas después, aprovechó un error de programación independiente en la lógica de verificación de las transacciones. El sistema utilizaba el valor 1.000 en lugar de 10.000, lo que le permitió retirar aproximadamente el 90 % de los activos depositados en los fondos de liquidez, realizando un depósito equivalente a casi cero. En total, obtuvo alrededor de 53,3 millones de dólares, la mayor parte de los activos de la plataforma, que se vio obligada a cerrar de inmediato por falta de liquidez.
Seguimiento de los fondos y recuperación de una parte
Spalletta hizo pasar las monedas robadas por el mezclador Tornado Cash y varias plataformas de intercambio descentralizadas. En diciembre de 2023, el investigador de fraudes con criptomonedas ZachXBT vinculó al pirata informático más de 11.200 ETH retirados de Tornado Cash, valorados entonces en 25 millones de dólares.
Gastó el dinero en objetos de gran valor, incluidos 18 paquetes sellados de cartas Alpha Booster de Magic por un valor aproximado de 1,5 millones de dólares, una colección básica de Pokémon de la primera edición por unos 750.000 dólares y una carta Black Lotus de Magic: The Gathering por aproximadamente 500.000 dólares, además de una antigua moneda romana que conmemora el asesinato de Julio César, valorada en más de 601.000 dólares.
Las autoridades confiscaron estos objetos en la vivienda de Spalletta en febrero de 2025 y también recuperaron aproximadamente 31 millones de dólares en criptomonedas de monederos vinculados a él.
¿Por qué importa esta noticia?
El caso demuestra que un error limitado en la lógica de un contrato inteligente, como utilizar un denominador numérico incorrecto, puede convertirse en una pérdida casi total de los activos de una plataforma financiera descentralizada. También muestra que ocultar el rastro del dinero mediante servicios de mezcla y plataformas descentralizadas no impide necesariamente vincular las transferencias con la identidad del sospechoso, aunque la sentencia no cambia el hecho de que la recuperación de los fondos depende de lo que pueda identificarse y confiscarse efectivamente.
El fiscal federal estadounidense Jamie McDonald afirmó que el delito causó pérdidas reales a las víctimas y provocó el colapso de una plataforma de criptomonedas, rechazando minimizar el valor de los activos digitales como «dinero falso de internet».