Uranium Finance: Schuldspruch für 53-Mio.-Dollar-Hacker

Eine Jury hat Jonathan Spalletta für schuldig befunden, mehr als 53 Millionen Dollar von Uranium Finance gestohlen zu haben. Die dezentrale Kryptobörse hatte er im April 2021 gleich zweimal angegriffen. Wegen der Verluste musste die Plattform schließen.

Spalletta ist 36 Jahre alt, stammt aus Maryland und trat im Netz unter den Namen "Jspalletta" und "Cthulhon" auf. Er stellte sich am 30. März den Behörden und wurde wegen Computerbetrugs und Geldwäsche angeklagt. Ihm drohen nun bis zu 10 Jahre Haft wegen Computerbetrugs und bis zu 20 Jahre wegen Geldwäsche.

Uranium lief als Automated Market Maker (AMM) auf Binances BNB Chain. Ein AMM ist eine Form der dezentralen Börse, die Preise über Smart Contracts und gebündelte Nutzergelder, sogenannte Liquiditätspools, festlegt und Handelsgeschäfte abwickelt. Ein klassisches Orderbuch oder einen Vermittler gibt es dabei nicht. Laut Gerichtsunterlagen erbeutete Spalletta fast 53,3 Millionen Dollar in Kryptowährung von der Plattform. Danach fehlte ihr das Geld, um den Betrieb aufrechtzuerhalten.

Zwei Angriffe, zwei Programmierfehler

Der erste Angriff erfolgte am 8. April 2021. Spalletta entdeckte eine Schwachstelle im Smart-Contract-Code von Uranium, über die er Abhebungsbefehle für null Token absetzen konnte. Die Börse zahlte auf diese Anfragen trotzdem Belohnungen aus, obwohl ihm diese nicht zustanden. Auf diese Weise zog er rund 1,4 Millionen Dollar aus dem Liquiditätspool ab.

Das gestohlene Geld nutzte er anschließend als Druckmittel. Um den Großteil zurückzubekommen, musste Uranium einer vorgetäuschten "Bug Bounty" von fast 386.000 Dollar zustimmen, die aus dem gestohlenen Geld bezahlt wurde. Auf dem Papier sah die Zahlung wie eine Belohnung für die verantwortungsvolle Meldung einer Sicherheitslücke aus. Tatsächlich war es eine Erpressungszahlung.

Rund drei Wochen später schlug Spalletta erneut zu, diesmal über einen anderen Fehler. Die Logik zur Transaktionsprüfung bei Uranium verwendete den Wert 1.000, wo eigentlich 10.000 hätte stehen müssen. Durch diesen Fehler konnte er fast 90 Prozent der Guthaben in den Liquiditätspools der Börse abheben, während er praktisch nichts einzahlte. Der zweite Angriff kostete Uranium den Großteil seiner Bestände, und die Börse stellte sofort den Betrieb ein.

Geldwäsche und Einkaufstour

Spalletta schleuste die gestohlene Kryptowährung über Tornado Cash und mehrere dezentrale Börsen. Tornado Cash ist ein sogenannter Mixer, ein Dienst, der Krypto-Transaktionen bündelt und durchmischt, damit sich die Herkunft der Gelder schwerer zurückverfolgen lässt.

Einen Teil des Geldes gab er für seltene Sammlerstücke aus, darunter:

• 18 versiegelte Alpha-Booster-Packs von Magic, für rund 1,5 Millionen Dollar
• ein vollständiges Pokemon-Basisset in Erstauflage, für etwa 750.000 Dollar
• eine "Black Lotus"-Karte von Magic: The Gathering, für rund 500.000 Dollar
• eine antike römische Münze zum Gedenken an die Ermordung Julius Caesars, für mehr als 601.000 Dollar

Laut Staatsanwaltschaft kaufte er noch weitere Gegenstände. Ermittler beschlagnahmten die Sammlerstücke im Februar 2025 in seinem Haus. Außerdem stellten sie rund 31 Millionen Dollar in Kryptowährung aus Wallets sicher, die ihm zugeordnet werden.

Die Spur war schon eine Weile vor der Festnahme öffentlich bekannt. Im Dezember 2023 brachte der Krypto-Betrugsermittler ZachXBT mehr als 11.200 ETH, die von Tornado Cash abgehoben worden waren, mit dem Uranium-Hacker in Verbindung. Die Coins waren damals 25 Millionen Dollar wert.

"Falsches Internetgeld"

US-Bundesanwältin Jamie McDonald hob bei der Bekanntgabe des Urteils am Mittwoch eine Bemerkung hervor, die Spalletta über seine Taten gemacht hatte.

"Spallettas eigene Worte zeigen seine gefährlich fehlgeleitete Gleichgültigkeit gegenüber seinen Opfern und dem Leid, das er verursacht hat. Er sagte: 'Krypto ist doch sowieso nur falsches Internetgeld.' Wie Spallettas zahlreiche Opfer wissen, könnten diese Worte nicht weiter von der Wahrheit entfernt sein", sagte McDonald.

"Durch Spallettas Taten haben echte Menschen echtes Geld verloren - über 50 Millionen Dollar - und eine ganze Kryptoplattform ist zusammengebrochen."

Unsere Einschätzung

Der Fall zeigt, wie kleine Programmierfehler im DeFi-Bereich unverhältnismäßig große Folgen haben können. Ein Fehler ließ Abhebungen mit dem Wert null zu. Der andere lief auf eine einzige Konstante hinaus, die auf 1.000 statt auf 10.000 gesetzt war. Zusammen reichten sie aus, um eine laufende Börse leerzuräumen. Smart Contracts verwalten echtes Geld unmittelbar und lassen sich nach der Veröffentlichung nur schwer korrigieren. Code-Audits und eine sorgfältige Prüfung vor dem Start sind deshalb weit wichtiger als bei vielen herkömmlichen Anwendungen.

Auch die vorgetäuschte "Bug Bounty" verdient Beachtung. Wer einen Angreifer für die Rückgabe von Geldern bezahlt und das Ganze Bounty nennt, verwischt womöglich die Grenze zwischen Sicherheitsforschung und Erpressung. Die Verurteilung deutet darauf hin, dass Staatsanwälte bereit sind, solche Absprachen als Teil der Straftat zu werten. Für Plattformen ist das ein Grund, zweimal nachzudenken, bevor sie zu solchen Bedingungen verhandeln.

Das Urteil passt zudem zu einem Muster: US-Behörden verfolgen Krypto-Straftaten auch noch Jahre später. Weitere Beispiele sind die kürzliche Verurteilung eines Mitgründers von Empire Market und der Gerichtstermin des mutmaßlichen Entwicklers der Geldautomaten-Malware Ploutus. Mixer wie Tornado Cash haben die Ermittler in diesem Fall nicht davon abgehalten, dem Geld zu folgen, und On-Chain-Analysen unabhängiger Forscher scheinen dabei eine Rolle gespielt zu haben.

Es lohnt sich zu beobachten, welche Strafe Spalletta erhält und ob ein Teil der sichergestellten 31 Millionen Dollar und der beschlagnahmten Sammlerstücke an die Nutzer von Uranium zurückfließt.