DeFi-Hacker nach Diebstahl von 54,7 Millionen Dollar und Ausgaben für Pokémon-Karten und einen Black Lotus verurteilt

Eine Bundesjury in Manhattan hat Jonathan Spalletta, einen Cybersicherheitsberater aus Maryland, für schuldig befunden, bei zwei Hacks im April 2021 rund 54,7 Millionen Dollar von der dezentralen Börse Uranium Finance abgezweigt zu haben.
Der Fall liest sich wie ein Fiebertraum aus Kryptowährungen und Sammlerstücken: Die gestohlenen Gelder flossen durch Tornado Cash und wurden anschließend in eine der teuersten Magic: The Gathering-Karten überhaupt, ein Pokémon-Set der ersten Auflage, eine römische Münze und ein Stück Stoff investiert, das zum Mond gereist war.
Das Urteil
Am Mittwoch, dem 7. Oktober, befand eine Jury Spalletta, 36, aus Rockville in Maryland, nach einem sechstägigen Prozess vor dem US-Bezirksrichter Jed Rakoff in beiden Anklagepunkten – Computerbetrug und Geldwäsche – für schuldig. Auf Computerbetrug stehen bis zu 10 Jahre Haft, auf Geldwäsche bis zu 20. Im Internet trat Spalletta unter den Namen „Cthulhon“ und „Jspalletta“ auf.
US-Staatsanwalt Jamie McDonald sagte:
„Spallettas Straftaten führten dazu, dass echte Menschen echtes Geld verloren – über 50 Millionen Dollar – und brachten eine ganze Krypto-Plattform zum Einsturz.“ Der Staatsbezirk New Yorks erklärte außerdem, seine Staatsanwälte und Behördenpartner hätten dafür gesorgt, dass sein „kriminelles Verhalten in der virtuellen Welt in einer realen strafrechtlichen Verurteilung endete“.
Hack eins: Ein Bug und eine „Belohnung“
Uranium Finance war eine dezentrale Börse, an der Nutzer über Liquiditätspools Token tauschten. Laut Staatsanwaltschaft schlug Spalletta am 8. April 2021 zu, indem er eine Reihe von Transaktionen mit dem Smart Contract von Uranium wiederholte, um weit mehr Belohnungen abzuziehen, als ihm zustanden. Dabei erbeutete er etwa 1,4 Millionen $.
Anschließend drängte er das Team, ihm etwa 386.000 $ als „Bug-Bounty“ zu überlassen, wenn er im Gegenzug den Rest zurückgab. Die Staatsanwaltschaft bezeichnete diese Belohnung als Täuschungsmanöver. Zwei Wochen später schrieb er einer anderen Person:
„Ich habe vor ein paar Wochen bei einem Krypto-Raubzug 1,5 Mio. $ erbeutet … Es gab einen Bug in einem Smart Contract, und ich habe ihn ausgenutzt … Krypto ist sowieso alles nur gefälschtes Internetgeld.“
Hack zwei: Der Schlag über 53,3 Millionen $
Nur 20 Tage nach dem ersten Angriff, am 28. April 2021, schlug er erneut zu. Dieses Mal nutzte er einen Fehler darin aus, wie der Vertrag Auszahlungen über mehrere Liquiditätspools hinweg berechnete, und erbeutete etwa 53,3 Millionen $. Uranium überstand den Verlust nicht und stellte mangels finanzieller Mittel den Betrieb ein.
„Code ist Gesetz“ funktionierte nicht
Spallettas Anwälte argumentierten, die Staatsanwaltschaft könne nicht beweisen, „wessen Finger auf der Tastatur lagen“, er habe den fehlerhaften Code von Uranium nicht geschrieben und Tornado Cash sei schlicht ein Datenschutz-Tool. Die Jury wies diese Argumente zurück. Cryptopolitan berichtete, das Urteil sei nach etwa zwei Stunden Beratung gefallen. Nach dem Urteil beantragte die Staatsanwaltschaft eine GPS-Überwachung Spallettas.
Geldwäsche über Tornado Cash
Laut Staatsanwaltschaft leitete Spalletta die Erlöse über eine Reihe von Transaktionen weiter, zu denen auch Tornado Cash gehörte – ein Ethereum-Mixer, der verschleiern soll, woher Gelder kommen und wohin sie fließen. Berichten über den Prozess zufolge wurden zwischen April 2021 und November 2023 etwa 26 Millionen $ davon über den Mixer geleitet.
Die Einkaufsliste
Was daraus eine Schlagzeile machte, war die Frage, wohin das Geld floss. Laut Justizministerium und den Beweisen im Prozess:
– Magic: The Gathering: eine Black-Lotus-Karte für etwa 500.000 $, dazu 18 versiegelte Alpha-Boosterpacks für ungefähr 1,5 Millionen $
– Pokémon: ein vollständiges Base-Set der ersten Edition für etwa 750.000 $ und eine versiegelte Booster-Box der ersten Edition für etwa 257.500 $
– Antike Geschichte: ein Eid-Mar-Denar, eine römische Münze zum Gedenken an die Ermordung von Julius Caesar, für etwa 601.545 $
– Weltraum-Memorabilia: ein Stück Stoff aus dem Originalflugzeug der Gebrüder Wright, das Neil Armstrong zum Mond mitnahm, für etwa 137.500 $
Das ist eine Menge Pappe und Stoff – und es passt zufällig zu einem Trend, den Krypto-Leser in letzter Zeit bemerkt haben: Pokémon-Karten haben Bitcoin 2026 übertroffen, und Coinbase hat kürzlich ein Produkt mit Pokémon-Boosterpacks angekündigt.
Was die Regierung zurückbekam
Ermittler beschlagnahmten bei einer gerichtlich genehmigten Durchsuchung das Black Lotus, den Stoff der Gebrüder Wright und einige der Münzen aus Spallettas Haus. Im Februar 2025 beschlagnahmten die Behörden außerdem Kryptowährungen aus den Uranium-Hacks, die damals etwa 31 Millionen $ wert waren. Die Staatsanwaltschaft hat alle, die glauben, Opfer der Uranium-Hacks geworden zu sein, gebeten, sich an Homeland Security Investigations zu wenden.
Warum Krypto-Nutzer das interessieren sollte
Dieser Fall kommt in einem Jahr, in dem die Sicherheit im DeFi-Bereich schwer auf die Probe gestellt wurde und bei Exploits auf Börsen und Protokollen Hunderte Millionen verloren gingen. Er erinnert an drei Dinge:
1. Exploits können strafrechtlich verfolgt werden. Das Argument „Der Code hat es erlaubt“ überzeugte die Jury nicht, obwohl die Logik des Vertrags tatsächlich fehlerhaft war.
2. Eine „Bug-Bounty“ ist kein Freifahrtschein. Einen Teil der Beute zurückzugeben, nachdem man sie an sich genommen hat, schützte ihn nicht.
3. Mixer verwischen die Spuren nicht. Das Geld floss durch Tornado Cash, doch die Ermittler konnten es trotzdem zu Vermögenswerten in seinem Haus und zu beschlagnahmten Kryptowährungen im Wert von 31 Millionen $ zurückverfolgen.
Für die Nutzer und das Team von Uranium war der Schaden dauerhaft: Die Börse erholte sich nie wieder.
Wie es weitergeht
Der Termin für Spallettas Strafmaßverkündung wurde in den Berichten, die ich gefunden habe, nicht genannt. Da er in beiden Anklagepunkten verurteilt wurde, drohen ihm insgesamt bis zu 30 Jahre Haft, auch wenn die tatsächlichen Strafen üblicherweise niedriger ausfallen. Vorerst steht der Fall als warnendes Beispiel im Kapitel „Was passiert nach dem Hack?“ der DeFi-Geschichte: Der Code wurde in wenigen Minuten ausgenutzt, doch die Konsequenzen ließen mehr als fünf Jahre auf sich warten.