Un jurado federal de Manhattan ha declarado culpable a Jonathan Spalletta, un consultor de ciberseguridad de 36 años residente en Rockville, Maryland, de fraude informático y blanqueo de capitales por el robo de unos 55 millones de dólares al protocolo de finanzas descentralizadas Uranium Finance en abril de 2021. El veredicto, emitido el 7 de octubre tras un juicio de seis días, cierra un caso que comenzó con dos ataques distintos contra los pools de liquidez del protocolo.

El primer ataque, del 8 de abril de 2021, reportó aproximadamente 1,4 millones de dólares. Spalletta devolvió parte de los fondos, pero se quedó con unos 386.000 dólares, que presentó como una recompensa por detección de errores (bug bounty). La fiscalía describió el acuerdo simplemente como una "recompensa" y no como una divulgación de seguridad legítima. Tres semanas después, el 28 de abril de 2021, un segundo ataque, mucho mayor, golpeó 26 de las reservas del protocolo y drenó aproximadamente 53,3 millones de dólares. En conjunto, ambos incidentes supusieron unos 54,7 millones de dólares sustraídos de la plataforma antes de cualquier devolución, y las pérdidas del segundo ataque obligaron al cierre total de Uranium Finance.

La defensa de Spalletta alegó que el exploit no implicó credenciales robadas ni código malicioso, sugiriendo que la manipulación se apoyó en fallos inherentes al diseño del protocolo y no en herramientas de hackeo convencionales. El jurado no quedó convencido. La caracterización de la conducta por parte del tribunal se centró en la "explotación de las vulnerabilidades y el blanqueo de los fondos", vinculando directamente la intrusión técnica con lo que vino después: un esfuerzo sostenido por mover la criptomoneda robada a través de Tornado Cash, el servicio de mezcla utilizado repetidamente en grandes casos de robo DeFi para ocultar el rastro de los fondos.

De la blockchain a los coleccionables

En lugar de dejar el botín en criptomonedas, Spalletta convirtió una parte significativa en objetos coleccionables físicos. Entre las compras figuran una carta Black Lotus de Magic: The Gathering valorada en unos 500.000 dólares, 18 sobres sellados de la edición Alpha comprados por alrededor de 1,5 millones de dólares, y un set de cartas Pokémon de primera edición adquirido por 750.000 dólares. También gastó más de 600.000 dólares en una moneda romana que conmemora el asesinato de Julio César y unos 137.500 dólares en un fragmento de tela del avión de los hermanos Wright que había sido llevado a la Luna por Neil Armstrong.

Al margen de estas adquisiciones, las autoridades incautaron 31 millones de dólares en criptomonedas vinculadas a Spalletta, valorados en el momento de la incautación, en febrero de 2025.

La sentencia, a cargo del juez Jed Rakoff, está programada para el 16 de febrero de 2027. El cargo de fraude informático conlleva una pena máxima de 10 años de prisión, mientras que el de blanqueo de capitales prevé hasta 20 años. Para un sector que ha visto desaparecer sucesivos exploits DeFi en mezcladores y transacciones opacas, el caso destaca por lo abiertamente que acabaron aflorando los fondos robados, convertidos en sobres de cartón, monedas antiguas y una reliquia de la historia temprana de la aviación.