Cryptohacker schuldig na hackbuit van $54,7 miljoen

Een federale jury heeft de 36-jarige Jonathan Spalletta woensdag schuldig bevonden aan computerfraude en witwassen bij twee hacks op de decentrale cryptobeurs Uranium Finance, met een buit van circa $54,7 miljoen. De man uit Rockville verkreeg de cryptomunten bij aanvallen in april 2021.

Spalletta werd na een proces van zes dagen op alle aanklachten schuldig bevonden. De jury oordeelde unaniem. Rechter Jed S. Rakoff moet zijn straf nog bepalen: op computerfraude staat maximaal tien jaar cel en op witwassen maximaal twintig jaar. Die wettelijke maxima zeggen niet welke straf hij uiteindelijk krijgt.

Uranium Finance liet gebruikers cryptomunten storten en ruilen via gezamenlijke voorraadpotten. Spalletta maakte bij de eerste aanval, op 8 april 2021, volgens de federale aanklacht misbruik van een fout in de opnamefunctie. Daardoor kon hij volgens de aanklacht na een opname zonder tokens toch herhaaldelijk beloningstokens krijgen.

Dat leverde circa $1,4 miljoen aan crypto op. Volgens de aanklacht gaf Spalletta daarvan uiteindelijk alles behalve circa $386.000 terug. In een bericht dat justitie tijdens het proces als bewijs presenteerde, schreef hij: “There was a bug in a smart contract, and I exploited it.”

Tweede fout kostte beurs vrijwel alles

Voor de tweede aanval stond in een controle van het contract volgens de aanklacht 1.000 waar 10.000 had moeten staan. Volgens de aanklacht gebruikte Spalletta die fout op 26 liquiditeitspools en verkreeg hij op 28 april 2021 voor circa $53,3 miljoen aan cryptomunten. Uranium verloor daardoor het overgrote deel van zijn voorraad. De beurs sloot vrijwel meteen.

Vooraf had hij volgens de aanklacht een versleuteld bestand gemaakt met de naam uranium_bug.txt, waarin hij de fout beschreef.

De aanklacht stelt dat circa $386.000 uit de eerste aanval en circa $26 miljoen uit de tweede via Tornado Cash liepen. De jury bevond Spalletta ook schuldig aan het witwassen van de opbrengst met complexe cryptotransacties.

Beslag trof crypto en verzamelstukken

Opsporingsdiensten namen op 24 februari 2025 crypto uit de hacks in beslag die toen circa $31 miljoen waard was. De waarde op de dag van het juryoordeel is niet gepubliceerd. Evenmin is gepubliceerd of, wanneer en welk deel uiteindelijk bij de gebruikers van Uranium terechtkomt.

Bij een huiszoeking werden daarnaast een Black Lotus-kaart, antieke munten en een stuk doek gevonden van het oorspronkelijke vliegtuig van de gebroeders Wright, dat Neil Armstrong naar de maan had meegenomen.

Het Amerikaanse OM roept slachtoffers op zich bij de federale opsporingsdienst Homeland Security Investigations te melden.