Eine Bundesjury in Manhattan hat Jonathan Spalletta, einen Cybersicherheitsberater aus Maryland, für schuldig befunden, bei zwei Hacks im April 2021 rund 54,7 Millionen US-Dollar von der dezentralen Börse Uranium Finance abgezogen zu haben.
Der Fall liest sich wie ein fieberhafter Traum aus Krypto und Sammlerstücken: Gestohlene Gelder flossen durch Tornado Cash und wurden anschließend für eine der teuersten Magic: The Gathering-Karten überhaupt, ein Pokémon-Set der ersten Edition, eine römische Münze und ein Stoffstück ausgegeben, das zum Mond gereist war.
Das Urteil
Am Mittwoch, dem 7. Oktober, befand eine Jury Spalletta, 36, aus Rockville, Maryland, nach einem sechstägigen Prozess vor dem US-Bezirksrichter Jed Rakoff in beiden Anklagepunkten – Computerbetrug und Geldwäsche – für schuldig. Auf Computerbetrug stehen bis zu 10 Jahre Haft, auf Geldwäsche bis zu 20 Jahre. Im Internet trat Spalletta unter den Namen „Cthulhon“ und „Jspalletta“ auf.
US-Staatsanwalt Jamie McDonald sagte:
„Spallettas Verbrechen führten dazu, dass echte Menschen echtes Geld verloren – mehr als 50 Millionen US-Dollar – und brachten eine ganze Kryptoplattform zum Einsturz.“ Die Staatsanwaltschaft des südlichen Bezirks von New York fügte hinzu, ihre Staatsanwälte und Behördenpartner hätten dafür gesorgt, dass sein „kriminelles Verhalten in der virtuellen Welt in einer strafrechtlichen Verurteilung in der realen Welt endete“.
Hack eins: Ein Fehler und eine „Prämie“
Uranium Finance war eine dezentrale Börse, auf der Nutzer Token über Liquiditätspools tauschten. Laut Staatsanwaltschaft schlug Spalletta am 8. April 2021 zu, indem er eine Reihe von Transaktionen mit Uraniums Smart Contract wiederholte, um weit mehr Prämien abzuheben, als ihm zustanden. Dabei erbeutete er rund 1,4 Millionen US-Dollar.
Anschließend drängte er das Team, ihm rund 386.000 US-Dollar als „Bug-Bounty“ zu überlassen, wenn er im Gegenzug den Rest zurückgebe. Die Staatsanwaltschaft bezeichnete diese Prämie als Täuschungsmanöver. Zwei Wochen später schrieb er einer anderen Person:
„Ich habe vor ein paar Wochen einen Krypto-Raub im Wert von 1,5 Millionen Dollar begangen … Es gab einen Fehler in einem Smart Contract, und ich habe ihn ausgenutzt … Krypto ist sowieso alles nur wertloses Internetgeld.“
Hack zwei: Der Angriff im Wert von 53,3 Millionen US-Dollar
Nur 20 Tage nach dem ersten Angriff, am 28. April 2021, schlug er erneut zu. Diesmal nutzte er einen Fehler darin aus, wie der Smart Contract Auszahlungen über mehrere Liquiditätspools hinweg berechnete, und erbeutete rund 53,3 Millionen US-Dollar. Uranium überstand den Verlust nicht und stellte mangels finanzieller Mittel den Betrieb ein.
„Code ist Gesetz“ funktionierte nicht
Spallettas Anwälte argumentierten, die Staatsanwaltschaft könne nicht beweisen, „wessen Finger auf der Tastatur waren“, er habe den fehlerhaften Uranium-Code nicht geschrieben und Tornado Cash sei lediglich ein Datenschutz-Tool. Die Jury wies diese Argumente zurück. Cryptopolitan berichtete, das Urteil sei nach rund zwei Stunden Beratung gefallen. Nach dem Urteil beantragte die Staatsanwaltschaft, Spalletta mit einer GPS-Fußfessel zu überwachen.
Geldwäsche über Tornado Cash
Die Staatsanwaltschaft erklärte, Spalletta habe die Erlöse über eine Reihe von Transaktionen verschoben, darunter über Tornado Cash, einen Ethereum-Mixer, der verschleiern soll, woher Gelder kommen und wohin sie fließen. Berichten über den Prozess zufolge leitete er zwischen April 2021 und November 2023 rund 26 Millionen US-Dollar über den Mixer.
Die Einkaufsliste
Was den Fall zum Aufmacher machte, war der Verbleib des Geldes. Den Angaben des Justizministeriums und den Beweisen aus dem Prozess zufolge:
– Magic: The Gathering: eine Black-Lotus-Karte für rund 500.000 US-Dollar sowie 18 versiegelte Alpha-Boosterpacks für etwa 1,5 Millionen US-Dollar – Pokémon: ein vollständiges Basis-Set der ersten Edition für etwa 750.000 US-Dollar und eine versiegelte Booster-Box der ersten Edition für rund 257.500 US-Dollar – Antike Geschichte: ein Eid-Mar-Denar, eine römische Münze zum Gedenken an die Ermordung von Julius Caesar, für etwa 601.545 US-Dollar – Weltraum-Memorabilia: ein Stück Stoff aus dem Originalflugzeug der Gebrüder Wright, das Neil Armstrong zum Mond mitnahm, für etwa 137.500 US-Dollar
Das ist eine Menge Pappe und Stoff – und es passt zu einem Trend, den Krypto-Leser in letzter Zeit bemerkt haben: Pokémon-Karten haben Bitcoin im Jahr 2026 übertroffen, und Coinbase hat kürzlich ein Produkt mit Pokémon-Boosterpacks angekündigt.
Was die Regierung zurückerhielt
Ermittler beschlagnahmten mit einem gerichtlich genehmigten Durchsuchungsbeschluss die Black Lotus, den Stoff der Gebrüder Wright sowie einige Münzen aus Spallettas Haus. Im Februar 2025 beschlagnahmten die Behörden außerdem Kryptowährungen aus den Uranium-Hacks, die damals rund 31 Millionen US-Dollar wert waren. Die Staatsanwaltschaft hat alle, die glauben, Opfer der Uranium-Hacks geworden zu sein, gebeten, sich an Homeland Security Investigations zu wenden.
Warum Krypto-Nutzer das interessieren sollte
Der Fall kommt in einem Jahr, in dem die DeFi-Sicherheit eine verheerende Bilanz aufweist und durch Exploits bei Börsen und Protokollen Hunderte Millionen verloren gingen. Er erinnert an drei Dinge:
1. Exploits können strafrechtlich verfolgt werden. Das Argument „Der Code hat es zugelassen“ überzeugte die Jury nicht, obwohl die Logik des Smart Contracts tatsächlich fehlerhaft war.
2. Eine „Bug-Bounty“ ist kein Freifahrtschein. Einen Teil der Beute zurückzugeben, nachdem man sie gestohlen hat, schützte ihn nicht. 3. Mixer verwischen die Spuren nicht vollständig. Das Geld floss durch Tornado Cash, doch die Ermittler konnten es trotzdem zu Vermögenswerten in seinem Haus und zu beschlagnahmten Kryptowährungen im Wert von 31 Millionen US-Dollar zurückverfolgen.
Für die Nutzer und das Team von Uranium waren die Schäden dauerhaft: Die Börse erholte sich nie wieder.
Wie es weitergeht
Ein Termin für Spallettas Strafmaßverkündung wurde in den Berichten, die ich gefunden habe, nicht genannt. Da er in beiden Anklagepunkten schuldig gesprochen wurde, drohen ihm insgesamt bis zu 30 Jahre Haft, wobei die tatsächlich verhängten Strafen in der Regel niedriger ausfallen. Vorerst ist der Fall ein warnendes Beispiel dafür, was nach einem Hack in der DeFi-Welt passiert: Der Code wurde innerhalb von Minuten ausgenutzt, doch die Konsequenzen ließen mehr als fünf Jahre auf sich warten.