Um homem de Maryland foi considerado culpado de roubar mais de US$ 53 milhões após atacar duas vezes a plataforma descentralizada de negociação de criptomoedas Uranium Finance, em abril de 2021.
Jonathan Spalletta, de 36 anos, também conhecido na internet como “Jspalletta” e “Cthulhon”, se entregou às autoridades em 30 de março e foi acusado de fraude informática e lavagem de dinheiro.
Segundo documentos judiciais, Spalletta atacou a Uranium Finance, um formador automatizado de mercado (AMM) na BNB Chain, da Binance, e roubou cerca de US$ 53,3 milhões em criptomoedas. A falta de recursos obrigou a empresa a encerrar as atividades.
No primeiro ataque, em 8 de abril de 2021, ele retirou cerca de US$ 1,4 milhão da reserva de liquidez da Uranium ao explorar uma falha no código de seu contrato inteligente. A vulnerabilidade permitia emitir solicitações de saque sem possuir tokens e fazia a plataforma pagar recompensas às quais ele não tinha direito.
Em seguida, Spalletta extorquiu a plataforma para que ela lhe concedesse uma recompensa fraudulenta de bug bounty, no valor de quase US$ 386 mil. Ele usou parte do dinheiro roubado como pagamento, em troca da devolução do restante.
Três semanas depois, Spalletta atacou a Uranium novamente. Dessa vez, explorou outro erro de programação que fazia a lógica de verificação de transações da plataforma usar 1.000 em vez de 10.000. Com isso, conseguiu retirar quase 90% dos ativos mantidos nas reservas de liquidez da Uranium, embora tivesse depositado praticamente nenhum token.
O ataque rendeu a Spalletta cerca de US$ 53,3 milhões, a maior parte dos recursos da Uranium, e obrigou a plataforma a encerrar as atividades imediatamente. Depois, ele lavou as criptomoedas roubadas usando o misturador Tornado Cash e várias plataformas descentralizadas de negociação.
Com o dinheiro, comprou 18 pacotes lacrados de cartas Magic da edição Alpha, por cerca de US$ 1,5 milhão; um conjunto completo da primeira edição da coleção básica de Pokémon, por aproximadamente US$ 750 mil; uma carta “Black Lotus”, de Magic: The Gathering, por cerca de US$ 500 mil; e uma antiga moeda romana em homenagem ao assassinato de Júlio César, por mais de US$ 601 mil, entre outros itens.
Agentes da lei apreenderam esses itens colecionáveis em sua residência, em fevereiro de 2025, e recuperaram cerca de US$ 31 milhões em criptomoedas de carteiras vinculadas a Spalletta.
O investigador de fraudes com criptomoedas ZachXBT foi o primeiro a relacionar ao invasor da Uranium mais de 11.200 ETH retirados do Tornado Cash, avaliados em US$ 25 milhões na época. A descoberta foi feita em dezembro de 2023.
“As próprias palavras de Spalletta demonstram uma indiferença perigosamente equivocada em relação às vítimas e às dificuldades que ele causou. Ele disse: ‘Criptomoedas são apenas dinheiro falso da internet’. Como sabem as muitas vítimas de Spalletta, nada poderia estar mais longe da verdade. Os crimes de Spalletta fizeram pessoas de verdade perderem dinheiro de verdade, mais de US$ 50 milhões, e levaram ao colapso de toda uma plataforma de criptomoedas”, afirmou na quarta-feira o procurador federal Jamie McDonald.
Spalletta pode ser condenado a até 10 anos de prisão por fraude informática e até 20 anos por lavagem de dinheiro.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...