Взлом Uranium Finance: криптоактивы на $50 млн и карты Pokemon

В обвинительном заключении США утверждается, что средства, полученные в результате двух эксплойтов криптоплатформы Uranium Finance, прошли через миксер Tornado Cash, после чего были использованы для покупки карточек Pokemon и других предметов коллекционирования. На данный момент обвинения против Джонатана Спаллетты остаются лишь утверждениями, а не судебным признанием вины.

В официальном сообщении Министерства юстиции США, опубликованном 30 марта 2026 года, подробно описываются предполагаемые взломы, маршруты отмывания средств и совершенные покупки. Uranium представляла собой децентрализованную криптовалютную биржу, которая позволяла пользователям вносить и обменивать активы через пулы ликвидности. Прокуроры утверждают, что Спаллетта дважды воспользовался уязвимостями в смарт-контрактах платформы в апреле 2021 года, превратив недостатки в логике вывода средств и вознаграждений в существенные убытки для биржи и ее клиентов.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

Первая предполагаемая атака произошла 8 апреля. Согласно обвинительному заключению, обманная последовательность транзакций в смарт-контракте позволила Спаллетте вывести больше токенов вознаграждения, чем ему полагалось, извлекая криптовалюту на сумму около 1,4 миллиона долларов. Далее утверждается, что он повторял эти операции до тех пор, пока не опустошил почти все токены вознаграждения в пуле.

28 апреля, по версии следствия, он использовал другую ошибку, затронувшую вывод средств в 26 пулах ликвидности Uranium, что привело к краже криптовалюты на сумму около 53,3 миллиона долларов. После второго взлома биржа закрылась из-за нехватки средств. Эти цифры представлены в отчете Минюста как результаты двух отдельных атак; при этом в релизе не устанавливается окончательная общая сумма, помимо описания обвинений как связанных с суммой более 50 миллионов долларов.

Дело продвинулось далеко за пределы первоначального эксплойта. Минюст сообщил, что Спаллетта сдался властям после того, как обвинительное заключение было обнародовано 30 марта 2026 года, и должен был предстать перед мировым судьей США Оной Т. Ванг. Отдельно от этого, 24 февраля 2025 года правоохранительные органы конфисковали криптовалюту на сумму около 31 миллиона долларов на основании санкционированного судом ордера на арест имущества.

Длительный перерыв между предполагаемыми атаками 2021 года и последующей конфискацией — привычное явление в сфере крипто-расследований: транзакции остаются видимыми в блокчейне даже тогда, когда личность, стоящая за адресом, не установлена немедленно.

От крипто-эксплойта до карточек Pokemon

Обвинительное заключение описывает путь от эксплуатации контракта до конкретных трат, а не просто наличие крупного баланса на кошельке. Прокуроры утверждают, что после получения криптовалюты Спаллетта переместил ее через сложную серию транзакций между различными кошельками и блокчейнами, включая использование Tornado Cash. В пресс-релизе не приводится полный поминутный отчет о перемещении средств.

Предполагаемые покупки делают это дело необычайно осязаемым. По данным Минюста, на вырученные средства была куплена карта Black Lotus из игры Magic: The Gathering примерно за 500 000 долларов и 18 запечатанных бустеров серии Alpha примерно за 1,51 миллиона долларов. Также в списке фигурирует запечатанная коробка бустеров Pokémon первого издания стоимостью около 257 500 долларов и полный базовый набор Pokémon первого издания примерно за 750 000 долларов.

Траты криптоактивов не ограничивались покемонами. В обвинительном заключении упоминается фрагмент ткани с оригинального самолета братьев Райт, который позже был доставлен на Луну астронавтом Нилом Армстронгом (куплен примерно за 137 500 долларов), и денарий Eid Mar, посвященный убийству Юлия Цезаря, приобретенный примерно за 601 545 долларов.

В релизе говорится, что фотографии карты Black Lotus, фрагмента ткани и определенных монет были связаны с предметами, изъятыми в резиденции Спаллетты в ходе обыска на основании судебного ордера.

Эти детали отражают версию правительства, а не доказанный отчет о том, кто именно платил за каждый предмет или какой кошелек финансировал каждую покупку. В релизе Минюста прямо не утверждается, что через Tornado Cash прошло около 26 миллионов долларов — эта цифра фигурирует в дополнительных репортажах и не должна рассматриваться как факт, установленный самим обвинительным заключением.

Маршрут средств важен для следователей, поскольку перевод активов в коллекционные предметы создает записи и вовлеченных контрагентов вне блокчейна. Транзакции в сети могут выявить паттерн движения, в то время как записи о покупках, изъятое имущество и другие улики потенциально помогают связать этот паттерн с конкретным человеком. Доказательная сила заключается в совокупности всей цепочки, а не в отдельном переводе или дорогостоящем объекте.

Это делает дело актуальным не только для Uranium Finance. Криптоактивы могут быстро перемещаться между адресами, в то время как последствия взлома DeFi-протокола сохраняются годами в виде краха бирж, правоприменительных действий и усилий по возврату средств. Отслеживание украденных активов после других взломов представляет ту же проблему: фиксация движения средств не тождественна доказательству права собственности или преступного умысла.