Uranium Finance -hakkeri osti Pokemon-kortteja miljoonilla

Yhdysvaltain nostama syyte väittää, että kahdesta Uranium Finance -kryptopalveluun kohdistuneesta hyökkäyksestä saadut varat siirrettiin Tornado Cashin läpi, minkä jälkeen niillä ostettiin muun muassa Pokemon-kortteja ja muita keräilyesineitä. Jonathan Spallettaa vastaan nostetut syytteet ovat toistaiseksi väitteitä, eikä oikeus ole vielä todennut häntä syylliseksi.

Yhdysvaltain oikeusministeriön (DOJ) 30. maaliskuuta 2026 julkaisema syyteilmoitus kuvailee väitettyjä hakkerointeja, rahanpesureittejä sekä tehtyjä hankintoja. Uranium oli hajautettu kryptopörssi, jossa käyttäjät voivat tallettaa ja vaihtaa varoja likviditeettipooleissa. Syyttäjien mukaan Spalletta hyödynsi palvelun älysopimusten heikkouksia kahdesti huhtikuussa 2021, muuttaen nosto- ja palkkiologiikan virheet merkittäviksi tappioiksi pörssille ja sen käyttäjille.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

Ensimmäinen väitetty hyökkäys tapahtui 8. huhtikuuta. Syytteen mukaan Spalletta käytti harhaanjohtavaa älysopimustapahtumien sarjaa nostaakseen enemmän palkkiotokeneita kuin mihin hänellä oli oikeus, saaden haltuunsa noin 1,4 miljoonan dollarin arvosta kryptovaluuttaa. Hänen väitetään toistaneen tapahtumia, kunnes hän oli tyhjentänyt lähes kaikki poolin palkkiotokenit.

Huhtikuun 28. päivänä syyttäjät väittävät hänen hyödyntäneen toista virhettä, joka vaikutti nostoihin 26 eri Uranium-likviditeettipoolissa. Tämä johti noin 53,3 miljoonan dollarin kryptovarkautta vastaavaan summaan. Pörssi joutui lopettamaan toimintansa toisen hakkeroinnin jälkeen varojen puutteen vuoksi. Nämä luvut perustuvat oikeusministeriön selvitykseen kahdesta erillisestä hyökkäyksestä; tiedote ei vahvista erillistä lopullista yhteissummaa, vaan kuvailee syytteiden koskevan yli 50 miljoonaa dollaria.

Tapaus on edennyt pitkälle alkuperäisestä hyökkäyksestä. DOJ ilmoitti, että Spalletta antautui sen jälkeen, kun syyte avattiin 30. maaliskuuta 2026, ja hänen oli määrä ilmestyä liittovaltion tuomari Ona T. Wangin eteen. Erikseen viranomaiset takavarikoivat noin 31 miljoonan dollarin arvosta kryptovaluuttaa 24. helmikuuta 2025 oikeuden myöntämällä takavarikointiluvalla.

Pitkä aikaväli vuoden 2021 väitettyjen hyökkäysten ja myöhemmän takavarikon välillä on tuttua kryptoalan valvonnassa: transaktiot pysyvät näkyvissä, vaikka osoitteen takana olevaa henkilöllisyyttä ei heti pystyttäisikään vahvistamaan.

Kryptohyökkäyksestä Pokemon-kortteihin

Syyte kuvaa reittiä älysopimuksen hyödyntämisestä kuluttamiseen, eikä kyse ole vain suuresta saldosta lompakossa. Syyttäjät väittävät, että saatuaan kryptovaluutat haltuunsa Spalletta siirsi ne monimutkaisen lompakoiden ja lohkoketjujen välisen transaktiosarjan kautta, hyödyntäen myös Tornado Cashia. Tiedote ei tarjoa täydellistä, transaktio kerrallaan etenevää seurantakertomusta.

Väitetyt ostokset tekevät tapauksesta poikkeuksellisen konkreettisen. DOJ:n mukaan varoilla rahoitettiin muun muassa Black Lotus Magic: The Gathering -kortti noin 500 000 dollarilla ja 18 sinetöityä Alpha-booster-pakkausta noin 1,51 miljoonalla dollarilla. Listalla on myös sinetöity ensimmäisen painoksen Pokémon-booster-laatikko (noin 257 500 dollaria) sekä täydellinen ensimmäisen painoksen Pokémon-perussarja, jonka hinta oli noin 750 000 dollaria.

Väitetty kryptovarojen käyttö ulottui muuhunkin kuin Pokemon-kortteihin. Syytteessä mainitaan Wrightin veljesten alkuperäisestä lentokoneesta peräisin oleva kangaspala, jonka astronautti Neil Armstrong vei myöhemmin kuuhun (ostettu noin 137 500 dollarilla), sekä Julius Caesarin salamurhaa juhlistava Eid Mar Denarius -kolikko, joka hankittiin noin 601 545 dollarilla.

Tiedotteen mukaan valokuvat Black Lotus -kortista, kankaasta ja tietyistä kolikoista yhdistettiin esineisiin, jotka takavarikoitiin Spallettan asunnosta oikeuden myöntämän etsintäluvan perusteella.

Nämä yksityiskohdat kuvaavat hallituksen väitteitä, eivätkä ne ole todistettu selvitys siitä, kuka maksoi mistäkin esineestä tai mikä lompakko rahoitti minkäkin ostoksen. DOJ:n tiedote ei mainitse, että Tornado Cashin läpi olisi kulkenut noin 26 miljoonaa dollaria, mikä on luku, joka esiintyy täydentävässä uutisoinnissa. Tätä lukua ei tule pitää itse syyteilmoituksen vahvistamana tietona.

Reitillä on merkitystä tutkijoille, koska muuntaminen keräilyesineiksi voi luoda rekistereitä ja vastapuolia lohkoketjun ulkopuolelle. Ketjun sisäiset siirrot voivat paljastaa liikehdintämallin, kun taas ostotiedot, takavarikoitu omaisuus ja muu näyttö voivat auttaa yhdistämään tuon mallin tiettyyn henkilöön. Todistusvoima perustuu kokonaisketjuun, ei yksittäiseen siirtoon tai arvokkaaseen esineeseen.

Tämä tekee tapauksesta merkityksellisen myös Uranium Financen ulkopuolella. Kryptovarat voivat liikkua nopeasti osoitteiden välillä, mutta DeFi-hyökkäyksen seuraukset jatkuvat pörssien kaatumisten, valvontatoimien ja palautusyritysten muodossa vielä vuosia myöhemmin. Varastettujen varojen jäljittäminen muissa pörssimurroissa tarjoaa saman haasteen: liikkeiden seuraaminen ei ole sama asia kuin omistajuuden tai tahallisuuden osoittaminen.