Jonathan Spalletta is schuldig bevonden aan het stelen van meer dan $53 miljoen door twee hacks op de gedecentraliseerde crypto exchange Uranium Finance in 2021.
Een man uit Maryland is schuldig bevonden aan het stelen van meer dan 53 miljoen dollar na twee hacks op de gedecentraliseerde crypto exchange Uranium Finance in april 2021. Jonathan Spalletta, 36 jaar oud en ook bekend onder de namen "Jspalletta" en "Cthulhon", gaf zich op 30 maart over aan de autoriteiten en werd aangeklaagd voor computerfraude en witwassen van geld.
Volgens gerechtelijke documenten hackte Spalletta Uranium, een automated market maker op Binance's BNB Chain, en stal hij bijna 53,3 miljoen dollar aan cryptocurrency. Dit dwong het bedrijf om te sluiten wegens gebrek aan middelen. Tijdens de eerste inbraak op 8 april 2021 maakte hij ongeveer 1,4 miljoen dollar buit door een kwetsbaarheid in de smart contractcode te misbruiken. Hierdoor kon hij onterecht beloningen opnemen via zogenoemde zero-token withdrawal commands. Vervolgens chanteerde hij de exchange om een valse "bug bounty" van bijna 386.000 dollar toe te kennen uit de gestolen fondsen om een deel terug te krijgen.
Drie weken later voerde Spalletta een tweede aanval uit waarbij hij een andere programmeerfout exploiteerde. Deze fout zorgde ervoor dat de transactieverificatie van de exchange 1.000 gebruikte in plaats van 10.000, waardoor hij bijna 90 procent van de activa uit de liquiditeitspools kon opnemen zonder daadwerkelijk tokens te storten. Dit leverde hem ongeveer 53,3 miljoen dollar op, het merendeel van de bezittingen van Uranium, waarna de exchange direct moest sluiten.
Daarna waste Spalletta de gestolen cryptocurrency via de Tornado Cash mixer en meerdere gedecentraliseerde exchanges. De opbrengsten werden onder andere besteed aan de aankoop van zeldzame verzamelkaarten en een antieke Romeinse munt. In februari 2025 werden deze waardevolle objecten in beslag genomen en werd ongeveer 31 miljoen dollar aan cryptocurrency teruggevonden in wallets die aan Spalletta gekoppeld zijn. Onderzoeker ZachXBT koppelde in december 2023 meer dan 11.200 ETH, ter waarde van 25 miljoen dollar destijds, via Tornado Cash aan de hacker.
De Amerikaanse aanklager Jamie McDonald verklaarde woensdag dat Spalletta's uitspraken zijn gebrek aan respect voor zijn slachtoffers illustreren. Zijn daden leidden tot het verlies van meer dan 50 miljoen dollar en het faillissement van een volledige crypto platform. Spalletta riskeert een gevangenisstraf tot tien jaar voor computerfraude en tot twintig jaar voor witwassen van geld.
