Uranium Finance Hack: 53 Millionen Dollar, Pokémon-Karten und die Münze zum Caesar-Mord

In Manhattan steht seit Montag, dem 28. September, ein 36-jähriger IT-Sicherheitsberater aus Rockville im US-Bundesstaat Maryland vor Gericht. Die US-Staatsanwaltschaft wirft Jonathan Spalletta vor, im April 2021 die dezentrale Kryptobörse Uranium Finance zweimal ausgenommen und dabei zusammen knapp 55 Millionen US-Dollar in Kryptowährungen erbeutet zu haben. Einen Teil der ersten Beute gab er zurück.

Was er mit dem Geld gemacht haben soll, liest sich eher wie ein Auktionskatalog als eine Anklageschrift: seltene Pokémon- und Magic-Karten, ein Stück Stoff, das auf dem Mond war, und eine römische Silbermünze, die an die Ermordung Julius Caesars erinnert.

Spalletta hat auf nicht schuldig plädiert, es gilt die Unschuldsvermutung. Den Vorsitz führt Bundesrichter Jed S. Rakoff am Bundesbezirksgericht für den Southern District of New York. Angeklagt ist Spalletta wegen Computerbetrugs und Geldwäsche. Darauf stehen bis zu 10 beziehungsweise 20 Jahre Haft.

Uranium Finance Hack: Was im April 2021 passiert sein soll

Uranium Finance war eine dezentrale Krypto-Börse auf der Binance Smart Chain, der heutigen BNB Chain, und basierte auf einer Kopie des Uniswap-V2-Codes. Nutzer hinterlegten Kryptowährungen in Liquiditätspools, tauschen konnten sie untereinander, für ihre Einlagen gab es Belohnungen.

Der erste Angriff erfolgte laut Anklage am 8. April 2021. Spalletta soll mit einer täuschenden Abfolge von Transaktionen weit mehr Belohnungen abgezogen haben, als ihm zustanden, und das so oft wiederholt haben, bis der Pool fast leer war. Die Ausbeute lag bei rund 1,4 Millionen US-Dollar.

Rund zwei Wochen später soll er einer anderen Person schriftlich von einem „Krypto-Raubzug“ über 1,5 Millionen Dollar berichtet haben. Es habe einen Fehler in einem Smart Contract gegeben, den er ausgenutzt habe. Krypto sei ohnehin „alles nur falsches Internetgeld“.

Danach folgte laut Anklage eine Erpressung. Spalletta soll Uranium dazu gebracht haben, ihm rund 386.000 Dollar als angebliche „Bug Bounty“ zu überlassen, also als Prämie für das Finden einer Sicherheitslücke. Im Gegenzug gab er den Rest zurück. Die Staatsanwaltschaft nennt das eine Schein-Prämie, die ihn vor Strafverfolgung schützen sollte. Nach der Zahlung soll er einem Uranium-Vertreter geraten haben, den Code beim nächsten Mal prüfen zu lassen.

Den Rat befolgte er offenbar selbst am gründlichsten. Am 28. April 2021, rund drei Wochen nach dem ersten Angriff, soll Spalletta einen weiteren Fehler ausgenutzt haben. Er betraf die Frage, wie viel aus einem Liquiditätspool abgehoben werden darf. Betroffen waren 26 Pools, die Beute lag bei rund 53,3 Millionen US-Dollar. Uranium Finance musste danach mangels Mitteln den Betrieb einstellen.

Eine Null zu viel: Der Fehler im Code

Die Schwachstelle war nach Sicherheitsanalysen kurz nach dem Angriff erstaunlich banal. Beim Umbau der Verträge hatten die Entwickler in der Gebührenberechnung einen Faktor von 1.000 auf 10.000 erhöht, an der entscheidenden Kontrollstelle aber den alten Wert stehen lassen. Diese Kontrolle soll verhindern, dass bei einem Tausch mehr Wert aus dem Pool abfließt als hineinkommt. Durch den Fehler war sie praktisch ausgehebelt: Wer eine Kleinigkeit einzahlte, konnte ein Vielfaches herausziehen.

Tornado Cash, Pokémon-Karten, Mondstoff: Was der Krypto-Hacker gekauft haben soll

Nach dem zweiten Angriff soll Spalletta die Gelder durch eine komplexe Kette von Transaktionen geschleust haben, unter anderem über den Krypto-Mixer Tornado Cash. Anschließend soll er laut Anklage eingekauft haben:

• Eine „Black Lotus“ für rund 500.000 US-Dollar. Sie gilt als berühmteste Karte des Sammelkartenspiels Magic: The Gathering und stammt aus dessen allererster Auflage von 1993.

• 18 versiegelte „Alpha“-Boosterpackungen von Magic für rund 1,51 Millionen US-Dollar.

• Eine versiegelte Booster-Box der ersten Pokémon-Edition für rund 257.500 US-Dollar.

• Ein komplettes Pokémon-Basis-Set der ersten Edition für rund 750.000 US-Dollar.

• Ein Stück Stoff vom Originalflugzeug der Brüder Wright für rund 137.500 US-Dollar. Mit dem Flyer gelang ihnen 1903 der erste Motorflug. Neil Armstrong nahm Stoff- und Propellerfragmente davon 1969 mit Apollo 11 bis auf die Mondoberfläche. Einen Teil durfte er behalten, kleine Stücke daraus wurden später aus dem Nachlass der Familie versteigert.

• Einen „Eid Mar“-Denar für rund 601.545 US-Dollar. Brutus ließ diese Silbermünze um 43/42 v. Chr. prägen. Die Vorderseite zeigt sein Porträt, die Rückseite eine Freiheitsmütze zwischen zwei Dolchen und die Inschrift EID MAR, die Iden des März. Am 15. März 44 v. Chr. wurde Caesar ermordet. Von der Münze sind nur rund 100 Exemplare in Silber bekannt.

Allein diese einzeln aufgeführten Käufe summieren sich auf rund 3,76 Millionen US-Dollar. Die Black Lotus, das Stoffstück und mehrere antike Münzen wurden laut Anklage bei einer Durchsuchung von Spallettas Wohnung sichergestellt. Bereits am 24. Februar 2025 hatten die Behörden Kryptowährungen im damaligen Wert von rund 31 Millionen US-Dollar beschlagnahmt, die aus dem Uranium-Hack stammen sollen.

Geldwäsche oder Sammelleidenschaft?

Geldwäsche gilt es der Anklage zufolge in jedem Fall. Juristisch zählt dazu nicht nur das Verschleiern der Herkunft, sondern auch der Umgang mit Tatbeute. Ob hinter den Käufen Kalkül oder Leidenschaft steckte, dürfte für das Urteil zweitrangig sein. Die Auswahl wirkt allerdings weniger wie eine nüchterne Wertanlage und mehr wie die Wunschliste eines Sammlers.

Für die Ermittler war genau das hilfreich. Auf der Blockchain lassen sich Geldflüsse verfolgen, aber nicht ohne Weiteres Personen zuordnen. Sammlerstücke hinterlassen dagegen Spuren in der realen Welt: Auktionshäuser, Rechnungen, Lieferadressen. Bereits Ende 2023 hatte ein bekannter On-Chain-Ermittler rund 11.200 ETH, die aus Tornado Cash abgezogen worden waren, dem Uranium-Angreifer zugeordnet.

Prozess in New York: Was die Verteidigung sagt

Zum Auftakt sagte Staatsanwalt Shaun Werbelow den Geschworenen, Spalletta habe geplant, eine ganze Kryptoplattform zu zerstören, 50 Millionen Dollar zu stehlen und das Geld anschließend zu waschen. Bei der Anklageerhebung im März hatte der damalige US-Staatsanwalt Jay Clayton es so formuliert: Diebstahl bei einer Kryptobörse sei Diebstahl.

Die Verteidigung hält dagegen. Anwalt Shrey Sharma räumte ein, dass Spalletta mit Uranium interagiert habe, bestritt aber einen Hack. Sein Mandant habe öffentlich zugängliche Funktionen der Smart Contracts genutzt. Er habe keine gefälschten Zugangsdaten und keinen Schadcode verwendet und keine Zugangskontrollen überwunden. Zudem hätten die Sammlerkäufe erst 2023 begonnen. Es gebe keinen Beweis, dass es sich um dieselben Kryptowährungen aus dem Uranium-Hack handle.

Völlig aussichtslos ist diese Linie nicht. Im Fall Mango Markets hob Bundesrichter Arun Subramanian am selben Gericht im Mai 2025 sämtliche Schuldsprüche gegen den Trader Avraham Eisenberg auf. Dieser hatte über eine Preismanipulation rund 110 Millionen Dollar von der dezentralen Plattform abgezogen. Der Richter sah unter anderem keine ausreichenden Belege für falsche Angaben gegenüber einer Plattform, die ohne Zugangsbeschränkung und vollautomatisch arbeitete. Ob sich das auf Spalletta übertragen lässt, ist offen: Ihm wird nicht Betrug, sondern Computerbetrug und Geldwäsche vorgeworfen.

Am zweiten Prozesstag kam es zu einer überraschenden Wendung. Spallettas Hauptverteidiger James Bell beantragte, das Mandat niederzulegen, und Richter Rakoff entband ihn. Öffentlich erläutert wurden die Gründe nicht. Sharma führt die Verteidigung weiter und soll Unterstützung aus seiner Kanzlei erhalten. Anschließend sagte ein Ermittler zu Geldflüssen über Tornado Cash aus. Wann ein Urteil fällt, ist noch offen.

Unabhängig vom Ausgang zeigt der Fall zweierlei. Eine Blockchain vergisst nichts: Zwischen Tat und Anklage lagen fast fünf Jahre, und trotzdem führte die Spur bis in ein Wohnzimmer in Maryland. Und für DeFi-Nutzer bleibt die unbequeme Lehre, dass ein einziger falscher Wert in kopiertem Code reichen kann, um eine ganze Börse zu leeren.

Dieser Beitrag könnte Dich auch interessieren: Bitcoin Betrug erkennen.