Hacker Uranium Finance: milioni in Pokemon e carte rare

Condividi

Copiato

Divulgazione Annunci

Divulgazione Annunci

Crediamo nella completa trasparenza con i nostri lettori. Alcuni dei nostri contenuti includono link di affiliazione e potremmo guadagnare una commissione attraverso queste partnership. Tuttavia, questa potenziale compensazione non influenza mai le nostre analisi, opinioni o pareri. I nostri contenuti editoriali vengono creati indipendentemente dalle nostre partnership di marketing e le nostre valutazioni si basano esclusivamente sui nostri criteri di valutazione stabiliti. Per saperne di più clicca qui.

Ultimo aggiornamento: 

Settembre 30, 2026

Un atto d’accusa degli Stati Uniti sostiene che due exploit ai danni della piattaforma crypto Uranium Finance siano passati attraverso Tornado Cash prima di essere utilizzati per acquistare carte Pokémon e altri oggetti da collezione. Le accuse contro Jonathan Spalletta rimangono tali e non costituiscono una sentenza di colpevolezza in tribunale.

L’annuncio dell’incriminazione da parte del Dipartimento di Giustizia degli Stati Uniti (DOJ), emesso il 30 marzo 2026, descrive i presunti attacchi, il percorso di riciclaggio e gli acquisti effettuati. Uranium era un exchange di criptovalute decentralizzato che permetteva agli utenti di depositare e scambiare asset attraverso pool di liquidità. I pubblici ministeri sostengono che Spalletta abbia sfruttato i suoi smart contract due volte nell’aprile 2021, trasformando le debolezze nella logica dei prelievi e dei premi in perdite sostanziali per l’exchange e i suoi utenti.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

Il primo presunto attacco ha avuto luogo l’8 aprile. L’atto d’accusa afferma che una sequenza ingannevole di transazioni tramite smart contract ha permesso a Spalletta di prelevare più token di ricompensa di quanti ne avesse diritto, estraendo criptovalute per un valore di circa 1,4 milioni di dollari. Si sostiene inoltre che abbia ripetuto le transazioni fino a svuotare quasi tutti i token premio nella pool.

Il 28 aprile, secondo i pubblici ministeri, l’uomo avrebbe sfruttato un errore separato che interessava i prelievi in 26 pool di liquidità di Uranium, portando al furto di circa 53,3 milioni di dollari in crypto. L’exchange ha chiuso i battenti dopo il secondo attacco a causa della mancanza di fondi. Queste cifre rappresentano il resoconto del DOJ di due attacchi distinti; il comunicato non stabilisce un totale combinato definitivo oltre a descrivere le accuse come coinvolgenti più di 50 milioni di dollari.

Il caso si è evoluto ben oltre l’exploit originale. Il DOJ ha dichiarato che Spalletta si è costituito dopo che l’atto d’accusa è stato reso pubblico il 30 marzo 2026, e doveva comparire davanti al giudice magistrato statunitense Ona T. Wang. Separatamente, le forze dell’ordine hanno sequestrato criptovalute per un valore di circa 31 milioni di dollari il 24 febbraio 2025, in base a un mandato di sequestro autorizzato dal tribunale.

Il lungo intervallo tra i presunti attacchi del 2021 e il successivo sequestro è un fenomeno comune nell’applicazione delle leggi sulle criptovalute: le transazioni possono rimanere visibili anche quando l’identità dietro un indirizzo non viene stabilita immediatamente.

Dagli exploit crypto alle carte Pokemon

L’atto d’accusa descrive un percorso che va dallo sfruttamento del contratto alla spesa, e non semplicemente un ingente saldo in un wallet. I pubblici ministeri sostengono che, dopo aver ottenuto le criptovalute, Spalletta le abbia spostate attraverso una complessa serie di transazioni tra vari wallet e blockchain, anche tramite Tornado Cash. Il comunicato non fornisce un resoconto completo del tracciamento transazione per transazione.

I presunti acquisti rendono il caso insolitamente concreto. Il DOJ afferma che i proventi hanno finanziato una carta Black Lotus di Magic: The Gathering per circa 500.000 dollari e 18 pacchetti booster Alpha sigillati per circa 1,51 milioni di dollari. L’elenco include anche una scatola di bustine Pokémon della prima edizione sigillata al prezzo di circa 257.500 dollari e un set base Pokémon completo della prima edizione per circa 750.000 dollari.

Le presunte spese in crypto si sono estese oltre le carte collezionabili. L’atto d’accusa identifica un frammento di tessuto dell’aereo originale dei fratelli Wright, successivamente portato sulla luna dall’astronauta Neil Armstrong, acquistato per circa 137.500 dollari, e un Denario Eid Mar che commemora l’assassinio di Giulio Cesare, acquistato per circa 601.545 dollari.

Il comunicato afferma che le fotografie della carta Black Lotus, del tessuto e di alcune monete erano associate a oggetti sequestrati presso la residenza di Spalletta in base a un mandato di perquisizione autorizzato dal tribunale.

Questi dettagli descrivono le accuse del governo, non un resoconto provato di chi abbia pagato per ogni articolo o quale wallet abbia finanziato ogni acquisto. Il comunicato del DOJ non specifica che circa 26 milioni di dollari siano passati attraverso Tornado Cash, una cifra che appare in reportage supplementari. Tale numero non deve essere trattato come stabilito dall’annuncio dell’incriminazione stesso.

Il percorso seguito è fondamentale per gli investigatori perché la conversione in oggetti da collezione può creare registri e controparti al di fuori della blockchain. Mentre i trasferimenti on-chain possono identificare un modello di movimento, i record di acquisto, i beni sequestrati e altre prove possono potenzialmente aiutare a collegare quel modello a una persona. La forza probatoria risiede nella catena combinata, non in un singolo trasferimento o in un oggetto di alto valore.

Questo rende il caso rilevante ben oltre Uranium Finance. Gli asset crypto possono spostarsi rapidamente tra gli indirizzi, mentre le conseguenze di un hack DeFi persistono attraverso fallimenti di exchange, azioni legali e sforzi di recupero anni dopo. Il tracciamento degli asset rubati dopo altre violazioni di exchange presenta lo stesso problema: seguire il movimento non equivale a dimostrare la proprietà o l’intento.