Um júri federal em Manhattan condenou Jonathan Spalletta, consultor de cibersegurança de 36 anos residente em Rockville, Maryland, por fraude informática e branqueamento de capitais relacionados com o roubo de cerca de 55 milhões de dólares do protocolo de finanças descentralizadas Uranium Finance, em abril de 2021. O veredicto, proferido a 7 de outubro após um julgamento de seis dias, encerra um processo que teve início com dois ataques distintos às pools de liquidez do protocolo.
O primeiro ataque, a 8 de abril de 2021, rendeu aproximadamente 1,4 milhões de dólares. Spalletta devolveu parte dos fundos, mas ficou com cerca de 386 mil dólares, que descreveu como uma recompensa por deteção de vulnerabilidades ("bug bounty"). A acusação classificou o acordo simplesmente como uma "recompensa", e não como uma divulgação legítima de falha de segurança. Três semanas depois, a 28 de abril de 2021, um segundo ataque, de muito maior dimensão, atingiu 26 das reservas do protocolo, drenando aproximadamente 53,3 milhões de dólares. No total, os dois incidentes representaram cerca de 54,7 milhões de dólares retirados da plataforma antes de qualquer reembolso, e as perdas do segundo ataque obrigaram a Uranium Finance a encerrar por completo.
A defesa de Spalletta argumentou que o exploit não envolveu credenciais roubadas nem código malicioso, sugerindo que a manipulação assentou em falhas inerentes ao desenho do protocolo, e não em ferramentas de pirataria convencionais. O júri não ficou convencido. A caracterização do tribunal sobre a conduta centrou-se na "exploração das vulnerabilidades e branqueamento dos fundos", ligando diretamente a intrusão técnica ao que se seguiu: um esforço sustentado para movimentar a criptomoeda roubada através do Tornado Cash, o serviço de mistura repetidamente utilizado em grandes casos de roubo DeFi para ocultar o rasto dos fundos.
Da blockchain para os colecionáveis
Em vez de manter os fundos em criptomoedas, Spalletta converteu uma parte significativa em objetos de colecionador físicos. As compras incluíram uma carta Black Lotus de Magic: The Gathering avaliada em aproximadamente 500 mil dólares, 18 pacotes selados da edição Alpha comprados por cerca de 1,5 milhões de dólares, e um conjunto de cartas Pokémon de primeira edição adquirido por 750 mil dólares. Gastou ainda mais de 600 mil dólares numa moeda romana que comemora o assassinato de Júlio César e cerca de 137.500 dólares num fragmento de tecido do avião dos irmãos Wright que foi levado à Lua por Neil Armstrong.
Além destas aquisições, as autoridades apreenderam 31 milhões de dólares em criptomoedas ligadas a Spalletta, valor avaliado à data da apreensão, em fevereiro de 2025.
A sentença perante o juiz Jed Rakoff está marcada para 16 de fevereiro de 2027. A acusação de fraude informática prevê uma pena máxima de 10 anos de prisão, enquanto a de branqueamento de capitais prevê um máximo de 20 anos. Para um setor que tem assistido a sucessivos exploits DeFi desaparecerem em misturadores e transações de fachada, este caso destaca-se pela forma aberta como os fundos roubados acabaram por emergir, sob a forma de pacotes de cartão, moedas antigas e uma relíquia da história inicial da aviação.
