Un jurado federal de Manhattan declaró culpable a Jonathan Spalletta, un consultor de ciberseguridad de Maryland, por sustraer unos 54,7 millones de dólares del exchange descentralizado Uranium Finance en dos ataques informáticos perpetrados en abril de 2021.
El caso parece una fantasía febril que mezcla criptomonedas y objetos de colección: los fondos robados pasaron por Tornado Cash y luego se usaron para comprar una de las cartas de Magic: The Gathering más caras que existen, una colección Pokémon de primera edición, una moneda romana y un trozo de tela que viajó a la Luna.
El veredicto
El miércoles 7 de octubre, un jurado declaró a Spalletta, de 36 años y residente de Rockville, Maryland, culpable de los dos cargos: fraude informático y blanqueo de capitales, tras un juicio de seis días ante el juez federal Jed Rakoff. El fraude informático conlleva una pena máxima de 10 años de prisión y el blanqueo de capitales, de hasta 20 años. En internet, Spalletta usaba los nombres «Cthulhon» y «Jspalletta».
El fiscal federal Jamie McDonald dijo:
«Los delitos de Spalletta hicieron que personas reales perdieran dinero real —más de 50 millones de dólares— y provocaron el colapso de toda una plataforma de criptomonedas». La Fiscalía del Distrito Sur de Nueva York añadió que sus fiscales y organismos asociados se habían asegurado de que su «conducta delictiva en el mundo virtual culminara en una condena penal en el mundo real».
Primer hackeo: un error y una «recompensa»
Uranium Finance era una plataforma de intercambio descentralizada donde los usuarios intercambiaban tokens a través de fondos de liquidez. Según los fiscales, Spalletta atacó el 8 de abril de 2021, repitiendo una serie de transacciones contra el contrato inteligente de Uranium para retirar muchas más recompensas de las que le correspondían. Se llevó unos 1,4 millones de dólares.
Luego presionó al equipo para que le permitiera quedarse con unos 386.000 $ como «recompensa por encontrar un error» a cambio de devolver el resto. Los fiscales calificaron esa recompensa de farsa. Dos semanas después, le escribió a otra persona:
«Hace un par de semanas hice un atraco de criptomonedas de 1,5 millones de dólares… Había un error en un contrato inteligente y lo aproveché… De todos modos, las criptomonedas no son más que dinero falso de internet».
Segundo hackeo: el golpe de 53,3 millones de dólares
Apenas 20 días después del primer ataque, el 28 de abril de 2021, volvió a atacar. Esta vez aprovechó un error en la forma en que el contrato calculaba los retiros entre varios fondos de liquidez y se llevó unos 53,3 millones de dólares. Uranium no pudo sobrevivir a la pérdida y cerró por falta de fondos.
«El código es la ley» no funcionó
Los abogados de Spalletta alegaron que los fiscales no podían demostrar «quién tenía los dedos sobre el teclado», que él no había escrito el código defectuoso de Uranium y que Tornado Cash no era más que una herramienta de privacidad. El jurado rechazó esos argumentos. Cryptopolitan informó que el veredicto llegó tras unas dos horas de deliberación. Tras el veredicto, los fiscales solicitaron que Spalletta fuera sometido a vigilancia por GPS.
Blanqueo a través de Tornado Cash
Los fiscales dijeron que Spalletta transfirió el dinero obtenido mediante una cadena de transacciones que incluía Tornado Cash, un servicio de mezcla de Ethereum diseñado para ocultar el origen y el destino de los fondos. Según las informaciones sobre el juicio, entre abril de 2021 y noviembre de 2023 hizo pasar por el servicio unos 26 millones de dólares.
La lista de compras
Lo que convirtió el caso en noticia destacada fue el destino del dinero. Según el Departamento de Justicia y las pruebas presentadas en el juicio:
– Magic: The Gathering: una carta Black Lotus por unos 500.000 $, más 18 sobres de expansión Alpha sellados por aproximadamente 1,5 millones de dólares
– Pokémon: un set completo de la primera edición, de la colección básica, por unos 750.000 $, y una caja sellada de sobres de la primera edición por unos 257.500 $
– Historia antigua: un denario Eid Mar, la moneda romana que conmemora el asesinato de Julio César, por unos 601.545 $
– Recuerdos espaciales: un trozo de tela del avión original de los hermanos Wright, llevado a la Luna por Neil Armstrong, por unos 137.500 $
Es mucho cartón y tela, y resulta que coincide con una tendencia que los lectores de criptomonedas han notado últimamente: en 2026, las cartas de Pokémon han superado a Bitcoin, y Coinbase anunció recientemente un producto de sobres de Pokémon.
Lo que recuperó el Gobierno
Los investigadores incautaron el Black Lotus, la tela de los hermanos Wright y algunas de las monedas de la casa de Spalletta, mediante una orden de registro autorizada por un tribunal. En febrero de 2025, las autoridades también incautaron criptomonedas procedentes de los hackeos de Uranium que en ese momento valían unos 31 millones de dólares. Los fiscales han pedido a quienes crean haber sido víctimas de los hackeos de Uranium que se pongan en contacto con Investigaciones de Seguridad Nacional.
Por qué debería importarles a los usuarios de criptomonedas
Este caso llega en un año en que la seguridad de las DeFi ha sufrido golpes durísimos, con cientos de millones perdidos por exploits en plataformas de intercambio y protocolos. Es un recordatorio de tres cosas:
1. Los exploits pueden ser objeto de procesamiento penal. El argumento de que «el código lo permitía» no convenció al jurado, aunque la lógica del contrato sí era defectuosa.
2. Una «recompensa por encontrar un error» no te exime de responsabilidad. Devolver parte del botín después de apropiártelo no lo protegió.
3. Los servicios de mezcla no borran el rastro. El dinero pasó por Tornado Cash y, aun así, los investigadores lograron rastrearlo hasta los bienes que tenía en su casa y hasta los 31 millones de dólares en criptomonedas incautadas.
Para los usuarios y el equipo de Uranium, el daño fue permanente: la plataforma de intercambio nunca se recuperó.
Qué viene ahora
La cobertura que encontré no informa de la fecha de la sentencia de Spalletta. Tras ser declarado culpable de ambos cargos, se enfrenta a una posible pena total de 30 años de prisión, aunque las sentencias reales suelen ser menores. Por ahora, el caso sirve de advertencia en el capítulo de las DeFi dedicado a «lo que pasa después del hackeo»: el código fue explotado en cuestión de minutos, pero las consecuencias tardaron más de cinco años en llegar.