Um júri americano condenou Jonathan Spalletta, conhecido na internet pelos nomes Jspalletta e Cthulhon, por roubar mais de 53 milhões de dólares da plataforma descentralizada Uranium Finance após invadi-la duas vezes em abril de 2021. Spalletta enfrenta uma pena de até 10 anos por fraude informática e 20 anos por lavagem de dinheiro.
Duas explorações distintas de contratos inteligentes
A Uranium Finance era um formador de mercado automatizado que operava na BNB Chain. No primeiro ataque, em 8 de abril de 2021, Spalletta explorou uma falha no código de um contrato inteligente que lhe permitia emitir ordens de retirada no valor de zero tokens, obrigando a plataforma a pagar recompensas que não eram devidas. Isso resultou na retirada de cerca de 1,4 milhão de dólares do pool de liquidez.
Depois, extorquiu a plataforma para obter aproximadamente 386 mil dólares sob o pretexto de uma falsa recompensa por vulnerabilidade, em troca da devolução do restante dos fundos roubados.
Três semanas depois, explorou um erro de programação separado na lógica de validação das transações. O sistema utilizava o valor 1.000 em vez de 10.000, o que lhe permitiu retirar cerca de 90% dos ativos existentes nos pools de liquidez, depositando em troca um valor praticamente nulo. O total obtido foi de aproximadamente 53,3 milhões de dólares, a maior parte dos ativos da plataforma, que foi obrigada a encerrar imediatamente devido à falta de liquidez.
Rastreamento dos fundos e recuperação de parte deles
Spalletta passou as moedas roubadas pelo mixer Tornado Cash e por várias exchanges descentralizadas. Em dezembro de 2023, o investigador de fraudes com criptomoedas ZachXBT associou ao hacker mais de 11.200 ETH retirados do Tornado Cash, que na época valiam 25 milhões de dólares.
Os fundos foram gastos em itens de alto valor, incluindo 18 pacotes selados de cartas Alpha Booster de Magic avaliados em aproximadamente 1,5 milhão de dólares, um conjunto básico da primeira edição de Pokémon no valor de cerca de 750 mil dólares e uma carta Black Lotus de Magic: The Gathering avaliada em aproximadamente 500 mil dólares, além de uma antiga moeda romana que celebra o assassinato de Júlio César, adquirida por mais de 601 mil dólares.
As autoridades apreenderam esses itens na casa de Spalletta em fevereiro de 2025 e também recuperaram cerca de 31 milhões de dólares em criptomoedas de carteiras associadas a ele.
Por que esta notícia é importante?
O caso mostra que um erro limitado na lógica de um contrato inteligente, como o uso de um denominador numérico incorreto, pode transformar-se numa perda quase total dos ativos de uma plataforma financeira descentralizada. Também demonstra que ocultar o fluxo dos fundos através de serviços de mistura e plataformas descentralizadas não impede necessariamente que as transferências sejam vinculadas à identidade do suspeito, embora a condenação não altere o facto de a recuperação dos fundos depender daquilo que pode ser efetivamente identificado e apreendido.
O procurador-geral dos Estados Unidos Jamie McDonald afirmou que o crime causou perdas reais às vítimas e provocou o colapso da plataforma de criptomoedas, rejeitando minimizar o valor dos ativos digitais como «dinheiro falso na internet».