Der erste Angriff ereignete sich nach Darstellung der Anklageschrift am 8. April 2021. Spalletta soll dabei das System zur Verteilung von Belohnungen des Protokolls ausgenutzt haben, um rund 1,4 Millionen Dollar abzuziehen. Anschließend erpresste er Uranium offenbar, um etwa 386.000 Dollar der Mittel als angebliche Belohnung im Rahmen eines vorgetäuschten Bug-Bounty-Programms behalten zu dürfen; rund eine Million Dollar gab er an die Börse zurück.
Am 28. April nutzte er laut Anklage eine weitere Schwachstelle in einem Smart Contract von Uranium aus, durch die er mehr Mittel abheben konnte, als ihm zugestanden hätte. Über die Lücke soll er rund 53,3 Millionen Dollar in Kryptowährung aus 26 Liquiditätspools von Uranium erbeutet haben. Damit war die Börse praktisch leergeräumt und musste den Betrieb einstellen.
Laut Anklageschrift wusch Spalletta die Gelder über eine Reihe von Krypto-Transaktionen, unter anderem über den Krypto-Mixer Tornado Cash. Die USA hatten den Mixer 2022 mit Sanktionen belegt, weil er als Drehscheibe für die Wäsche gestohlener Gelder gedient habe; im März des vergangenen Jahres wurden die Sanktionen wieder aufgehoben.
Mit dem gewaschenen Geld kaufte Spalletta Sammlerstücke, darunter Magic-Karten, Pokémon-Karten und antike römische Münzen, die zusammen Millionen wert sein sollen.
Im Februar des vergangenen Jahres meldeten die US-Strafverfolgungsbehörden die Beschlagnahme von rund 31 Millionen Dollar in Kryptowährung, die Spalletta betrügerisch von Uranium erlangt hatte. Die Mittel waren in verschiedene virtuelle Währungen umgewandelt und rund drei Jahre lang in ruhenden Wallets gehalten worden, bevor sie 2024 erneut bewegt wurden.
Spalletta stellte sich selbst und wird wegen Computerbetrugs und Geldwäsche angeklagt. Bei einer Verurteilung drohen ihm bis zu zehn Jahre Haft wegen Betrugs und bis zu zwanzig Jahre wegen Geldwäsche.