Um júri federal de Manhattan condenou Jonathan Spalletta, consultor de cibersegurança de Maryland, por desviar cerca de US$ 54,7 milhões da corretora descentralizada Uranium Finance em dois ataques ocorridos em abril de 2021.
O caso parece uma fantasia febril que mistura criptomoedas e itens colecionáveis: os fundos roubados passaram pelo Tornado Cash e depois foram usados para comprar uma das cartas de Magic: The Gathering mais caras que existem, um conjunto de Pokémon da primeira edição, uma moeda romana e um retalho de tecido que viajou à Lua.
O veredicto
Na quarta-feira, 7 de outubro, um júri considerou Spalletta, de 36 anos, morador de Rockville, Maryland, culpado das duas acusações de fraude informática e lavagem de dinheiro, após um julgamento de seis dias presidido pelo juiz federal Jed Rakoff. A fraude informática é punível com até 10 anos de prisão, e a lavagem de dinheiro, com até 20 anos. Na internet, Spalletta usava os nomes “Cthulhon” e “Jspalletta”.
O procurador dos EUA Jamie McDonald afirmou:
«Os crimes de Spalletta fizeram com que pessoas reais perdessem dinheiro real — mais de 50 milhões de dólares — e provocaram o colapso de uma plataforma de criptomoedas inteira.» O Distrito Sul de Nova Iorque acrescentou que os seus procuradores e parceiros das agências garantiram que a «atividade criminosa no mundo virtual terminasse numa condenação criminal no mundo real».
Ataque um: um bug e uma «recompensa»
A Uranium Finance era uma exchange descentralizada onde os utilizadores trocavam tokens através de pools de liquidez. Segundo os procuradores, Spalletta atacou a plataforma a 8 de abril de 2021, repetindo uma série de transações contra o contrato inteligente da Uranium para levantar muito mais recompensas do que aquelas a que tinha direito, levando cerca de 1,4 milhões de dólares.
Depois, pressionou a equipa para o deixar ficar com cerca de 386 000 dólares como «recompensa por encontrar um bug», em troca da devolução do resto. Os procuradores classificaram essa recompensa como uma farsa. Duas semanas depois, escreveu a outra pessoa:
«Fiz um assalto a criptomoedas de 1,5 milhões de dólares há umas semanas… Havia um bug num contrato inteligente e explorei-o… As criptomoedas são apenas dinheiro falso da internet, de qualquer maneira.»
Ataque dois: o golpe de 53,3 milhões de dólares
Apenas 20 dias após o primeiro ataque, a 28 de abril de 2021, voltou a atacar. Desta vez, explorou um erro na forma como o contrato calculava os levantamentos em vários pools de liquidez, levando cerca de 53,3 milhões de dólares. A Uranium não conseguiu sobreviver à perda e encerrou por falta de fundos.
«O código é lei» não funcionou
Os advogados de Spalletta argumentaram que os procuradores não podiam provar «quem tinha os dedos no teclado», que ele não escreveu o código defeituoso da Uranium e que a Tornado Cash é simplesmente uma ferramenta de privacidade. O júri rejeitou esses argumentos. A Cryptopolitan noticiou que o veredicto foi anunciado após cerca de duas horas de deliberação. Após o veredicto, os procuradores pediram que Spalletta fosse sujeito a vigilância por GPS.
Branqueamento através da Tornado Cash
Os procuradores disseram que Spalletta transferiu os lucros através de uma cadeia de transações que incluía a Tornado Cash, um serviço de mistura de Ethereum concebido para ocultar a origem e o destino dos fundos. Segundo as notícias sobre o julgamento, cerca de 26 milhões de dólares passaram pelo serviço entre abril de 2021 e novembro de 2023.
A lista de compras
O que transformou este caso numa notícia de destaque foi o destino do dinheiro. Segundo o Departamento de Justiça e as provas apresentadas no julgamento:
– Magic: The Gathering: uma carta Black Lotus por cerca de 500 mil dólares, mais 18 boosters Alpha selados por aproximadamente 1,5 milhões de dólares
– Pokémon: um conjunto completo da edição inaugural por cerca de 750 mil dólares e uma caixa de boosters selada da edição inaugural por cerca de 257 500 dólares
– História antiga: um denário Eid Mar, a moeda romana que assinala o assassinato de Júlio César, por cerca de 601 545 dólares
– Memorabilia espacial: um pedaço de tecido do avião original dos irmãos Wright, levado à Lua por Neil Armstrong, por cerca de 137 500 dólares
É muito cartão e tecido, e por acaso rima com uma tendência que os leitores de notícias sobre criptomoedas têm notado ultimamente: em 2026, as cartas Pokémon têm tido um desempenho superior ao Bitcoin, e a Coinbase anunciou recentemente um produto de pacotes Pokémon.
O que o Governo recuperou
Os investigadores apreenderam a Black Lotus, o tecido dos irmãos Wright e algumas das moedas da casa de Spalletta, ao abrigo de um mandado de busca autorizado por um tribunal. Em fevereiro de 2025, as autoridades também apreenderam criptomoedas provenientes dos ataques à Uranium, que valiam cerca de 31 milhões de dólares na altura. Os procuradores pediram a quem acredita ter sido vítima dos ataques à Uranium que contacte a Homeland Security Investigations.
Porque é que os utilizadores de criptomoedas se devem importar
Este caso surge num ano em que a segurança das DeFi tem sido duramente posta à prova, com centenas de milhões perdidos em explorações de vulnerabilidades em exchanges e protocolos. É um lembrete de três coisas:
1. As explorações de vulnerabilidades podem ser alvo de processo criminal. O argumento de que «o código permitia» não convenceu o júri, embora a lógica do contrato fosse realmente falha.
2. Uma «recompensa por encontrar um bug» não é um salvo-conduto. Devolver parte do que roubou depois de o ter levado não o protegeu.
3. Os mixers não apagam o rasto. O dinheiro passou pela Tornado Cash, mas, ainda assim, os investigadores conseguiram rastreá-lo até aos bens que estavam na casa dele e aos 31 milhões de dólares em criptomoedas apreendidos.
Para os utilizadores e a equipa da Uranium, os danos foram permanentes: a exchange nunca recuperou.
O que vem a seguir
A data da sentença de Spalletta não foi divulgada na cobertura que encontrei. Condenado pelas duas acusações, arrisca uma pena total de até 30 anos de prisão, embora as penas efetivas sejam normalmente mais baixas. Por enquanto, o caso serve de advertência no capítulo «o que acontece depois do ataque» das DeFi: o código foi explorado em minutos, mas as consequências demoraram mais de cinco anos a chegar.