Un jurado federal de Manhattan declaró culpable a Jonathan Spalletta, un consultor de ciberseguridad de Maryland, por sustraer alrededor de 54,7 millones de dólares del exchange descentralizado Uranium Finance en dos ataques ocurridos en abril de 2021.
El caso parece una delirante fantasía que mezcla criptomonedas y coleccionables: los fondos robados pasaron por Tornado Cash y luego se destinaron a una de las cartas de Magic: The Gathering más caras que existen, un set de Pokémon de primera edición, una moneda romana y un trozo de tela que viajó a la Luna.
El veredicto
El miércoles 7 de octubre, un jurado declaró culpable a Spalletta, de 36 años y residente de Rockville, Maryland, de ambos cargos: fraude informático y blanqueo de capitales, tras un juicio de seis días ante el juez federal Jed Rakoff. El fraude informático conlleva una pena máxima de 10 años de prisión, y el blanqueo de capitales, de hasta 20. En internet, Spalletta usaba los nombres «Cthulhon» y «Jspalletta».
El fiscal federal Jamie McDonald dijo:
«Los delitos de Spalletta hicieron que personas reales perdieran dinero real —más de 50 millones de dólares— y provocaron el colapso de toda una plataforma de criptomonedas». La Fiscalía del Distrito Sur de Nueva York añadió que sus fiscales y organismos asociados se habían asegurado de que su «conducta delictiva en el mundo virtual terminara en una condena penal en el mundo real».
Primer hackeo: un error y una «recompensa»
Uranium Finance era una plataforma de intercambio descentralizada donde los usuarios intercambiaban tokens a través de pools de liquidez. Según los fiscales, Spalletta atacó el 8 de abril de 2021, repitiendo una serie de transacciones contra el contrato inteligente de Uranium para retirar muchas más recompensas de las que le correspondían; se llevó aproximadamente 1,4 millones de dólares.
Luego presionó al equipo para que le permitiera quedarse con aproximadamente 386.000 dólares como «recompensa por errores» a cambio de devolver el resto. Los fiscales calificaron esa recompensa de farsa. Dos semanas después, le escribió a otra persona:
«Hace un par de semanas hice un atraco de criptomonedas de 1,5 millones de dólares… Había un error en un contrato inteligente y lo aproveché… De todas formas, las criptomonedas son dinero falso de internet».
Segundo hackeo: el golpe de 53,3 millones de dólares
Tan solo 20 días después del primer ataque, el 28 de abril de 2021, volvió a atacar. Esta vez aprovechó un error en la forma en que el contrato calculaba los retiros en varios pools de liquidez y se llevó unos 53,3 millones de dólares. Uranium no pudo sobrevivir a la pérdida y cerró por falta de fondos.
«El código es ley» no funcionó
Los abogados de Spalletta argumentaron que los fiscales no podían demostrar «quién tenía los dedos sobre el teclado», que él no había escrito el código defectuoso de Uranium y que Tornado Cash era simplemente una herramienta de privacidad. El jurado rechazó esos argumentos. Cryptopolitan informó que el veredicto llegó tras unas dos horas de deliberación. Después del veredicto, los fiscales solicitaron que Spalletta fuera sometido a vigilancia por GPS.
Lavado de dinero a través de Tornado Cash
Los fiscales dijeron que Spalletta movió las ganancias a través de una cadena de transacciones que incluyó Tornado Cash, el servicio de ofuscación de Ethereum diseñado para ocultar de dónde provienen los fondos y adónde van. Según la cobertura del juicio, entre abril de 2021 y noviembre de 2023 pasaron por el mezclador unos 26 millones de dólares.
La lista de compras
Lo que convirtió este caso en noticia de primera plana fue el destino del dinero. Según el Departamento de Justicia y las pruebas presentadas en el juicio:
– Magic: The Gathering: una carta Loto Negro por unos 500.000 dólares, más 18 sobres sellados de la edición Alpha por aproximadamente 1,5 millones de dólares – Pokémon: un juego completo de la primera edición del conjunto básico por unos 750.000 dólares y una caja sellada de sobres de la primera edición por aproximadamente 257.500 dólares – Historia antigua: un denario Eid Mar, la moneda romana que conmemora el asesinato de Julio César, por unos 601.545 dólares – Recuerdos espaciales: un trozo de tela del avión original de los hermanos Wright, llevado a la Luna por Neil Armstrong, por unos 137.500 dólares
Es mucho cartón y tela, y resulta que encaja con una tendencia que los lectores de noticias sobre criptomonedas han notado últimamente: en 2026, las cartas Pokémon han superado al Bitcoin, y Coinbase anunció hace poco un producto de sobres de Pokémon.
Lo que recuperó el Gobierno
Los investigadores incautaron el Loto Negro, la tela de los hermanos Wright y algunas de las monedas que había en la casa de Spalletta, en virtud de una orden de registro autorizada por un tribunal. En febrero de 2025, las autoridades también incautaron criptomonedas procedentes de los hackeos de Uranium que en ese momento valían unos 31 millones de dólares. Los fiscales han pedido a quienes crean haber sido víctimas de los hackeos de Uranium que se pongan en contacto con Investigaciones de Seguridad Nacional.
Por qué debería importarles a los usuarios de criptomonedas
Este caso se produce en un año en que la seguridad de DeFi ha sufrido golpes devastadores, con cientos de millones perdidos por exploits en plataformas de intercambio y protocolos. Es un recordatorio de tres cosas:
1. Los exploits pueden ser objeto de enjuiciamiento. El argumento de que «el código lo permitía» no convenció al jurado, aunque la lógica del contrato realmente tenía fallas.
2. Una «recompensa por errores» no es un salvoconducto. Devolver parte del botín después de llevárselo no lo protegió. 3. Los mezcladores no borran el rastro. El dinero pasó por Tornado Cash, pero los investigadores aun así lograron rastrearlo hasta los activos que tenía en casa y hasta 31 millones de dólares en criptomonedas incautadas.
Para los usuarios y el equipo de Uranium, el daño fue permanente: la plataforma de intercambio nunca se recuperó.
Qué viene ahora
La cobertura que encontré no informa la fecha de la sentencia de Spalletta. Tras ser declarado culpable de ambos cargos, se enfrenta a una pena potencial total de 30 años de prisión, aunque las condenas reales suelen ser menores. Por ahora, el caso sirve como advertencia en el capítulo de DeFi sobre «qué ocurre después del hackeo»: el código fue explotado en cuestión de minutos, pero las consecuencias tardaron más de cinco años en llegar.