Die US-amerikanischen Behörden haben Anklage gegen Jonathan Spalletta erhoben, der für einen massiven Cyberraub auf der dezentralisierten Finanzplattform Uranium Finance verantwortlich sein soll. Der Fall illustriert eindrucksvoll die Anfälligkeit dezentralisierter Börsen für gezielte Angriffe auf ihre technologische Infrastruktur.
Der erste Angriff ereignete sich am 8. April 2021. Spalletta exploitierte damals eine Schwachstelle im Reward-Verteilungssystem von Uranium und entwendete etwa 1,4 Millionen Dollar. Nach dieser ersten Attacke soll er die Betreiber erpresst haben – sie sollten ihm erlauben, etwa 386.000 Dollar aus der erbeuteten Summe als gefälschte Bug-Bounty-Belohnung zu behalten. Letztlich übergab er rund eine Million Dollar an die Börse zurück.
Doch dies war erst der Anfang. Am 28. April 2021 schlug Spalletta erneut zu. Diesmal nutzte er eine weitere Smart-Contract-Anfälligkeit, um aus 26 verschiedenen Liquiditäts-Pools von Uranium etwa 53,3 Millionen Dollar abzuzweigen. Der Diebstahl war von solch katastrophalen Ausmaßen, dass die Börse daraufhin ihren Betrieb ganz einstellen musste.
Besonders bemerkenswert ist die Verschleierung der gestohlenen Gelder. Spalletta nutzte einen Cryptocurrency-Mixer namens Tornado Cash, um die Herkunft der Gelder zu verschleiern – ausgerechnet jenes Werkzeug, das die USA 2022 wegen seiner Rolle bei der Geldwäsche von Kriminalität sanktionierten. Ironischerweise wurden diese Sanktionen im März 2023 wieder aufgehoben.
Mit den gewaschenen Mitteln kaufte Spalletta hochwertige Sammlerstücke: Magic Cards, Pokémon Cards und antike römische Münzen im Wert von mehreren Millionen Dollar. Dies zeigt ein klassisches Muster der Geldwäsche – Umwandlung digitaler Vermögenswerte in physische Sammlerobjekte.
Im Februar 2023 kündigte die US-amerikanische Strafverfolgungsbehörde die Beschlagnahme von etwa 31 Millionen Dollar an, die Spalletta aus Uranium entwendet hatte. Das Geld war über mehrere Jahre in inaktiven Wallets gespeichert worden, bevor es 2024 wieder bewegt wurde.
Spalletta, der sich selbst gestellt hat, wird wegen Computerbetrüger und Geldwäsche angeklagt. Eine Verurteilung könnte zu zehn Jahren Gefängnis für Betrug und bis zu 20 Jahren für Geldwäsche führen. Der Fall unterstreicht die kritische Bedeutung von Sicherheitsaudits und robusteren Schutzmaßnahmen im DeFi-Ökosystem.