Uranium Finance hack: Miljoenen aan crypto naar Pokemon-kaarten

Een Amerikaanse aanklacht stelt dat twee exploits van het crypto-platform Uranium Finance zijn witgewassen via Tornado Cash, waarna het geld werd gebruikt voor de aankoop van Pokémon-kaarten en andere zeldzame verzamelobjecten. De beschuldigingen tegen Jonathan Spalletta blijven vooralsnog beschuldigingen; er is nog geen gerechtelijke uitspraak over zijn schuld gedaan.

De aankondiging van het Amerikaanse ministerie van Justitie (DOJ), gepubliceerd op 30 maart 2026, beschrijft de vermeende hacks, de witwasroute en de daaropvolgende aankopen. Uranium was een gedecentraliseerde cryptocurrency exchange waar gebruikers activa konden storten en verhandelen via liquiditeitspools. Aanklagers beweren dat Spalletta in april 2021 tweemaal misbruik maakte van de smart contracts van het platform, waarbij zwakheden in de opname- en beloningslogica leidden tot aanzienlijke verliezen voor de beurs en haar gebruikers.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

De eerste vermeende aanval vond plaats op 8 april. Volgens de aanklacht stelde een misleidende reeks transacties in het smart contract Spalletta in staat om meer beloningstokens op te nemen dan waar hij recht op had, wat resulteerde in een cryptobuit ter waarde van ongeveer $1,4 miljoen. Er wordt verder beweerd dat hij de transacties herhaalde totdat hij bijna alle beloningstokens in de pool had leeggetrokken.

Op 28 april zou hij volgens de aanklagers een aparte fout hebben misbruikt die opnames in 26 liquiditeitspools van Uranium beïnvloedde, wat leidde tot de diefstal van ongeveer $53,3 miljoen aan crypto. De exchange moest na deze tweede hack de deuren sluiten wegens een gebrek aan middelen. Deze cijfers zijn gebaseerd op het verslag van de DOJ over twee afzonderlijke aanvallen; het persbericht stelt geen definitief gecombineerd totaal vast, behalve de beschrijving dat de aanklacht betrekking heeft op meer dan $50 miljoen.

De zaak is inmiddels in een nieuwe fase beland. De DOJ meldde dat Spalletta zich heeft overgegeven nadat de aanklacht op 30 maart 2026 openbaar werd gemaakt. Hij moet verschijnen voor rechter Ona T. Wang. Eerder, op 24 februari 2025, nam de politie al cryptocurrency ter waarde van ongeveer $31 miljoen in beslag op basis van een gerechtelijk bevel. Het lange tijdsbestek tussen de vermeende aanvallen in 2021 en de latere inbeslagname is een bekend fenomeen bij crypto-opsporing: transacties blijven zichtbaar, zelfs als de identiteit achter een adres niet direct vaststaat.

Van crypto-exploit naar Pokémon-kaarten

De aanklacht beschrijft een route van contractmisbruik naar concrete uitgaven, en niet louter een hoog saldo in een wallet. Aanklagers stellen dat Spalletta de verkregen crypto verplaatste via een complex netwerk van transacties over verschillende wallets en blockchains, waaronder via de mixer Tornado Cash. Het rapport geeft geen volledig overzicht van elke individuele transactie.

De vermeende aankopen maken de zaak opvallend tastbaar. Volgens de DOJ werd de buit onder meer gebruikt voor een Black Lotus Magic: The Gathering-kaart van ongeveer $500.000 en 18 verzegelde Alpha booster packs ter waarde van circa $1,51 miljoen. Ook wordt er melding gemaakt van een verzegelde eerste editie Pokémon booster box van $257.500 en een complete eerste editie Pokémon basisset voor ongeveer $750.000.

De crypto-uitgaven beperkten zich niet tot ruilkaarten. De aanklacht noemt ook een stukje stof van het originele vliegtuig van de gebroeders Wright (dat later door astronaut Neil Armstrong naar de maan werd gebracht) voor $137.500, en een Eid Mar Denarius ter herdenking van de moord op Julius Caesar, gekocht voor ongeveer $601.545.

Volgens het persbericht werden foto’s van de Black Lotus-kaart, de stof en bepaalde munten in verband gebracht met items die in de woning van Spalletta in beslag zijn genomen tijdens een door de rechter bevolen huiszoeking.

Deze details vormen de beschuldigingen van de overheid en zijn geen bewezen verslag van wie elke aankoop heeft gefinancierd. Het DOJ-bericht vermeldt niet dat er ongeveer $26 miljoen door Tornado Cash is gesluisd; dit cijfer verscheen in aanvullende berichtgeving maar moet niet worden beschouwd als een vaststaand feit uit de officiële aanklacht.

De gevolgde route is cruciaal voor onderzoekers, omdat de omzetting naar verzamelobjecten sporen en tegenpartijen buiten de blockchain creëert. Terwijl on-chain transacties patronen kunnen blootleggen, kunnen aankoopbewijzen en inbeslagnames helpen om die patronen aan een specifiek persoon te koppelen. De bewijskracht ligt in de gecombineerde keten van gebeurtenissen, niet in één enkele overdracht of een waardevol object. Dit maakt de zaak relevant voor de bredere DeFi-sector: crypto kan snel worden verplaatst, maar de gevolgen van een hack kunnen jaren later nog leiden tot handhavingsacties.