Nel mese di aprile 2021, un errore nel codice di una piattaforma crypto ha permesso a un uomo di sottrarre 53,3 milioni di dollari. Ha speso parte di questa somma in carte Pokémon. Mercoledì, una giuria di New York ha definito il fatto un furto.
Jonathan Spalletta, 36 anni, del Maryland, rischia fino a 30 anni di prigione. I suoi avvocati hanno sostenuto che abbia utilizzato solo strumenti che la piattaforma lasciava disponibili a chiunque.
Il bug che ha pagato 53 milioni di dollari
Uranium Finance era un exchange di criptovalute senza un’azienda al comando. Un software denominato smart contract deteneva le monete degli utenti e le distribuiva secondo regole fisse.
L’8 aprile 2021, Spalletta trovò un errore in quelle regole. Lo sfruttò ripetutamente per incassare circa 1,4 milioni di dollari che non gli spettavano, secondo quanto ha spiegato in dettaglio il Dipartimento di Giustizia qui.
Due settimane dopo, lo descrisse per iscritto.
“Ho fatto un furto crypto da 1,5 milioni di dollari un paio di settimane fa… C’era un bug in uno smart contract, e l’ho sfruttato… Tanto la crypto è solo denaro finto di internet.”
I pubblici ministeri sostengono che abbia poi fatto pressioni su Uranium affinché gli permettesse di tenere 386.000 dollari come “bug bounty”, la ricompensa per la segnalazione delle falle. Il governo ha definito la cosa una farsa.
Il 28 aprile, ha sfruttato una seconda falla. Ha prosciugato circa 53,3 milioni di dollari da diversi pool, e Uranium ha chiuso.
Dal furto crypto alle carte Pokémon
Inizialmente ha fatto passare il denaro su Tornado Cash, un servizio che nasconde la provenienza delle monete.
Poi è andato a fare acquisti. Un set base prima edizione delle carte Pokémon costava circa 750.000 dollari, mentre una confezione sigillata di booster box 257.500 dollari.
Una Black Lotus, una carta Magic famosissima e rara, è costata 500.000 dollari. Una moneta romana che commemora l’assassinio di Giulio Cesare è costata 601.545 dollari.
Ha anche speso 137.500 dollari per un frammento del tessuto dell’aereo dei fratelli Wright che Neil Armstrong portò sulla Luna.
La giuria ha impiegato circa due ore per condannarlo, secondo quanto ha riportato Inner City Press in questo articolo. BeInCrypto ha inoltre coperto le accuse originarie di marzo.
“Come sanno le numerose vittime di Spalletta, quelle parole sono ben lontane dalla verità,” ha spiegato in dettaglio il Procuratore degli Stati Uniti Jamie McDonald in una dichiarazione.
Gli agenti hanno sequestrato la carta Black Lotus e il tessuto lunare dalla sua abitazione, oltre a circa 31 milioni di dollari in crypto.
Il furto Bitget di settembre da 350 milioni di dollari si classifica come l’hack più grande del 2026, secondo dati DefiLlama.
Ora sarà il giudice a decidere la pena di Spalletta.
