Uranium Finance: Krypto-Hacker kaufte Pokemon-Karten

Eine US-Anklageschrift wirft Jonathan Spalletta vor, zwei Krypto-Exploits gegen Uranium Finance durchgeführt und die Beute über Tornado Cash gewaschen zu haben, bevor er damit Pokémon-Karten und andere Sammlerstücke kaufte. Die Vorwürfe gegen Spalletta bleiben Anschuldigungen; ein gerichtlicher Schuldspruch liegt bisher nicht vor.

Die am 30. März 2026 veröffentlichte Ankündigung des US-Justizministeriums (DOJ) beschreibt die mutmaßlichen Hacks, die Geldwäsche-Route und die anschließenden Käufe. Uranium war eine dezentrale Kryptobörse, die es Nutzern ermöglichte, über Liquiditätspools Vermögenswerte zu hinterlegen und zu tauschen. Staatsanwälte behaupten, dass Spalletta die Smart Contracts der Plattform im April 2021 zweimal ausnutzte, indem er Schwachstellen in der Auszahlungs- und Belohnungslogik in massive Verluste für die Börse und deren Nutzer verwandelte.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

Der erste mutmaßliche Angriff ereignete sich am 8. April. Laut Anklage ermöglichte eine täuschende Abfolge von Smart-Contract-Transaktionen Spalletta, mehr Belohnungs-Token abzuheben, als ihm zustanden, wodurch er Kryptowährungen im Wert von etwa 1,4 Millionen US-Dollar erbeutete. Weiter wird behauptet, dass er diese Transaktionen wiederholte, bis er fast alle Belohnungs-Token im Pool geleert hatte.

Am 28. April soll er laut Staatsanwaltschaft einen separaten Fehler ausgenutzt haben, der Auszahlungen in 26 Liquiditätspools von Uranium betraf, was zum Diebstahl von etwa 53,3 Millionen US-Dollar in Krypto führte. Die Börse musste nach dem zweiten Hack den Betrieb einstellen, da ihr die Mittel fehlten. Diese Zahlen stammen aus dem Bericht des DOJ über zwei verschiedene Angriffe; die Mitteilung legt keine separate, endgültige Gesamtsumme fest, außer der Beschreibung, dass die Anklagepunkte mehr als 50 Millionen US-Dollar betreffen.

Der Fall hat sich weit über den ursprünglichen Exploit hinaus entwickelt. Das DOJ gab bekannt, dass Spalletta sich stellte, nachdem die Anklageschrift am 30. März 2026 entsiegelt worden war, und vor der US-Magistratsrichterin Ona T. Wang erscheinen sollte. Unabhängig davon beschlagnahmten die Strafverfolgungsbehörden am 24. Februar 2025 Kryptowährungen im Wert von etwa 31 Millionen US-Dollar im Rahmen eines gerichtlich genehmigten Durchsuchungsbeschlusses.

Die lange Zeitspanne zwischen den mutmaßlichen Angriffen im Jahr 2021 und der späteren Beschlagnahmung ist in der Krypto-Strafverfolgung nicht ungewöhnlich: Transaktionen bleiben sichtbar, auch wenn die Identität hinter einer Adresse nicht sofort festgestellt werden kann.

Vom Krypto-Exploit zu Pokémon-Karten

Die Anklageschrift beschreibt einen Weg von der Ausnutzung der Verträge bis hin zu den Ausgaben, nicht bloß einen hohen Kontostand in einer Wallet. Die Staatsanwaltschaft behauptet, dass Spalletta die Kryptowährungen nach dem Erhalt durch eine komplexe Serie von Transaktionen über verschiedene Wallets und Blockchains bewegte, einschließlich der Nutzung von Tornado Cash. Der Bericht liefert jedoch keine vollständige, transaktionsgenaue Rückverfolgung.

Die mutmaßlichen Käufe machen den Fall ungewöhnlich greifbar. Laut DOJ wurden die Erlöse für eine Black Lotus Magic: The Gathering Karte für etwa 500.000 US-Dollar und 18 versiegelte Alpha Booster Packs für rund 1,51 Millionen US-Dollar verwendet. Zudem werden eine versiegelte Pokémon-Booster-Box der ersten Edition für etwa 257.500 US-Dollar und ein komplettes Pokémon-Basisset der ersten Edition für etwa 750.000 US-Dollar aufgeführt.

Die Krypto-Ausgaben beschränkten sich nicht nur auf Pokémon-Karten. Die Anklage nennt zudem ein Stück Stoff vom Originalflugzeug der Gebrüder Wright, das später vom Astronauten Neil Armstrong mit zum Mond genommen wurde (Kaufpreis ca. 137.500 US-Dollar), sowie einen Eid Mar Denarius zur Erinnerung an die Ermordung von Julius Cäsar für etwa 601.545 US-Dollar.

In der Mitteilung heißt es, dass Fotos der Black Lotus Karte, des Stoffes und bestimmter Münzen mit Gegenständen in Verbindung gebracht wurden, die bei einer gerichtlich genehmigten Durchsuchung in Spallettas Wohnung sichergestellt wurden.

Diese Details beschreiben die Behauptungen der Regierung, nicht eine bewiesene Darstellung darüber, wer für jeden Artikel bezahlt hat oder welche Wallet welchen Kauf finanzierte. Der DOJ-Bericht besagt nicht, dass etwa 26 Millionen US-Dollar durch Tornado Cash flossen – eine Zahl, die in ergänzender Berichterstattung auftauchte. Dieser Wert sollte nicht als durch die Anklageankündigung selbst gesichert betrachtet werden.

Der Weg der Gelder ist für Ermittler von Bedeutung, da die Umwandlung in Sammlerstücke Aufzeichnungen und Gegenparteien außerhalb der Blockchain schafft. On-Chain-Transfers können Bewegungsmuster identifizieren, während Kaufbelege, beschlagnahmtes Eigentum und andere Beweise helfen können, diese Muster einer Person zuzuordnen. Die Beweiskraft liegt in der kombinierten Kette, nicht in einem einzelnen Transfer oder einem hochwertigen Objekt.

Dies macht den Fall über Uranium Finance hinaus relevant. Krypto-Assets können schnell zwischen Adressen verschoben werden, während die Folgen eines DeFi-Hacks durch Börsenpleiten, Strafverfolgungsmaßnahmen und Rückforderungsbemühungen noch Jahre später fortbestehen. Die Rückverfolgung gestohlener Vermögenswerte nach anderen Börsen-Hacks stellt dasselbe Problem dar: Das Verfolgen von Bewegungen ist nicht identisch mit dem Beweis von Eigentum oder Vorsatz.