Jury acht man schuldig aan kraak Uranium Finance

Een federale jury in Manhattan heeft gisteren Jonathan Spalletta schuldig bevonden aan twee aanvallen waarbij volgens het Amerikaanse ministerie van Justitie circa $1,4 miljoen en $53,3 miljoen aan crypto werd verkregen. De aanvallen troffen in april 2021 Uranium Finance, een decentrale cryptobeurs met door gebruikers gevulde handelspools. Het ministerie spreekt van zes procesdagen; rechtbankverslaggever Inner City Press noemde 7 oktober de zevende procesdag.

Bij de eerste aanval, rond 8 april 2021, liet Spalletta een fout in een opnamefunctie telkens opnieuw beloningstokens uitbetalen. Hij gaf het grootste deel van de circa $1,4 miljoen terug, maar hield circa $386.000. Volgens de aanklacht dwong hij Uranium Finance dat restant achteraf een beloning voor het vinden van een fout te noemen. In een bericht schreef hij: “Get your code audited next time. Hire me if you want.”

Twintig dagen later volgde de tweede aanval. In de code van Uranium stond 1.000 waar 10.000 had moeten staan. Spalletta gebruikte die fout bij 26 liquiditeitspools en verkreeg volgens de aanklacht circa $53,3 miljoen aan crypto, destijds de overweldigende meerderheid van wat het platform bezat. Blockchainanalysebedrijf TRM Labs noemt voor deze aanval $53,7 miljoen. Uranium Finance stopte vrijwel direct daarna.

Geld ging door Tornado Cash

Voor het witwasfeit stelde de aanklacht dat Spalletta de achtergehouden $386.000 uit de eerste aanval en circa $26 miljoen uit de tweede aanval naar Tornado Cash stuurde. Ook gebruikte hij meerdere blockchains, veel wallets en tussenpersonen om aankopen te doen. Enkele dagen voor de tweede aanval had hij volgens het procesbewijs een versleuteld bestand met de naam uranium_bug.txt gemaakt waarin de gebruikte fout stond.

Het Amerikaanse ministerie van Justitie presenteerde tijdens het proces een opvallende boodschappenlijst. Met de opbrengsten zouden onder meer een Black Lotus-kaart van circa $500.000, achttien verzegelde Magic: The Gathering-pakjes van circa $1,5 miljoen en een verzegelde Pokémon-boosterbox van circa $258.000 zijn gekocht. Ook ging circa $750.000 naar een complete Pokémon-basisset uit de eerste editie.

Daar bleef het niet bij. De aankopen omvatten volgens het ministerie ook voor circa $138.000 aan stof van het vliegtuig van de gebroeders Wright dat Neil Armstrong meenam naar de maan, en een antieke Romeinse munt van circa $602.000. Het algemene juryoordeel gold voor de twee aanklachten als geheel, niet voor iedere aankoop afzonderlijk.

Miljoenen in beslag genomen

Bij een huiszoeking werden onder meer de Black Lotus-kaart, het stuk vliegtuigstof en bepaalde antieke munten in beslag genomen. De opsporing legde op 24 februari 2025 bovendien met een rechterlijk bevel beslag op crypto die toen circa $31 miljoen waard was. Het beslag is nog in overheidshanden, voor zover uit de geraadpleegde stukken blijkt.

De processtukken laten zowel het aantal individuele gedupeerden als de verdeling van de schade over Uranium Finance, tokenhouders en liquiditeitsverschaffers open. De handelspools bevatten door gebruikers gestorte crypto.

Spalletta kan wettelijk maximaal tien jaar gevangenisstraf krijgen voor computerfraude en twintig jaar voor witwassen. Rechter Jed S. Rakoff bepaalt de daadwerkelijke straf later; de twee maxima vormen samen geen verwachte straf. Ook de definitieve beslissingen over verbeurdverklaring en schadevergoeding volgen nog.