Nach Angaben der entsiegelten Anklageschrift führte Spalletta zwei getrennte Angriffe auf Uranium aus. Beim ersten Einbruch am 8. April nutzte er einen Fehler im Smart-Contract-Code der Börse aus: Über die Variable “AmountWithBonus” setzte er Abhebungsbefehle mit null Token ab, die die Börse zwangen, ihm Belohnungen auszuzahlen, auf die er keinen Anspruch hatte. Dabei entzog er dem Liquiditätspool rund 1,4 Millionen Dollar.
Anschließend erpresste er Uranium, indem er sich knapp 386.000 Dollar der gestohlenen Mittel als vorgetäuschtes “Bug-Bounty” zuweisen ließ und im Gegenzug den Rest an die Börse zurückgab.
Drei Wochen später, am 28. April, schlug er erneut zu. Diesmal nutzte er einen Programmierfehler von einem einzigen Zeichen aus, durch den die Prüflogik für Transaktionen den Wert 1.000 statt 10.000 verwendete. So konnte Spalletta nahezu 90 Prozent der Vermögenswerte aus 26 verschiedenen Liquiditätspools abheben, während er praktisch null Token einzahlte. Er erbeutete dabei rund 53,3 Millionen Dollar – den überwiegenden Teil der Bestände von Uranium – und zwang die Börse zur sofortigen Schließung.
Laut US-Staatsanwalt Jay Clayton habe Spalletta “wiederholt Smart Contracts gehackt, um sich Millionen an fremdem Geld anzueignen, und dabei eine Krypto-Börse zerstört”. Bei der Beschreibung seines mutmaßlichen “Beutezugs” habe Spalletta einer anderen Person gegenüber gesagt: “Krypto ist ohnehin nur falsches Internetgeld.” Diebstahl von einer Krypto-Börse bleibe Diebstahl, so Clayton; die Behauptung, “Krypto sei anders”, ändere daran nichts. Für die Opfer mache es keinen Unterschied, ob ihnen ihr Geld genommen werde.
Die gestohlenen Krypto-Vermögenswerte wusch Spalletta über mehrere dezentrale Börsen und den Mixer Tornado Cash. Den Erlös gab er den Ermittlern zufolge für eine breite Palette von Sammlerstücken aus: darunter eine “Black Lotus”-Karte aus Magic: The Gathering für rund 500.000 Dollar, 18 versiegelte Alpha-Booster-Packs desselben Spiels für etwa 1,5 Millionen Dollar, ein vollständiges Pokémon-Grundset der Erstauflage für rund 750.000 Dollar sowie eine antike römische Münze zum Gedenken an die Ermordung Julius Cäsars für über 601.000 Dollar.
Im Februar 2025 beschlagnahmten die Strafverfolger die Sammlerstücke auf Grundlage eines gerichtlich genehmigten Durchsuchungsbeschlusses in seinem Wohnhaus und stellten rund 31 Millionen Dollar in Kryptowährung aus Wallets sicher, die mit Spalletta in Verbindung stehen. Ihm drohen bis zu zehn Jahre Haft wegen Computerbetrugs und bis zu 20 Jahre, falls er der Geldwäsche schuldig gesprochen wird.