Uranium Finance-hacks: Miljoner i krypto blev Pokemon-kort
Ett amerikanskt åtal gör gällande att två exploateringar av kryptoplattformen Uranium Finance flyttats genom Tornado Cash innan de användes för att köpa Pokemon-kort och andra samlarobjekt. Anklagelserna mot Jonathan Spalletta förblir påståenden och inte ett fastställt domstolsbeslut om skuld.
Det amerikanska justitiedepartementets (DOJ) tillkännagivande om åtalet, som utfärdades den 30 mars 2026, beskriver de påstådda hacken, tvättvägen och inköpen.
Uranium var en decentraliserad kryptobörs som lät användare sätta in och byta tillgångar via likviditetspooler. Åklagare hävdar att Spalletta utnyttjade plattformens smarta kontrakt vid två tillfällen i april 2021, genom att omvandla svagheter i uttags- och belöningslogik till betydande förluster för börsen och dess användare.
A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP
— Bloomberg (@business) September 29, 2026
Den första påstådda attacken ägde rum den 8 april. Enligt åtalet tillät en vilseledande sekvens av transaktioner i de smarta kontrakten Spalletta att ta ut fler belönings-tokens än han hade rätt till, vilket resulterade i kryptovaluta värd cirka 1,4 miljoner dollar. Det påstås vidare att han upprepade transaktionerna tills han hade tömt nästan alla belönings-tokens i poolen.
Den 28 april hävdar åklagarna att han utnyttjade ett separat fel som påverkade uttag i 26 av Uraniums likviditetspooler, vilket resulterade i stöld av kryptovaluta värd cirka 53,3 miljoner dollar. Börsen stängdes ner efter det andra hacket på grund av brist på medel. Dessa siffror är DOJ:s redogörelse för två separata attacker; pressmeddelandet fastställer inte en separat, definitiv total summa utöver att beskriva anklagelserna som involverande mer än 50 miljoner dollar.
Fallet har rört sig långt bortom den ursprungliga exploateringen. DOJ uppgav att Spalletta överlämnade sig efter att åtalet offentliggjordes den 30 mars 2026, och förväntades inställa sig inför den amerikanska domaren Ona T. Wang. Separat beslagtog brottsbekämpande myndigheter kryptovaluta värd cirka 31 miljoner dollar den 24 februari 2025, enligt en domstolsgodkänd beslagsorder.
Det långa tidsgapet mellan de påstådda attackerna 2021 och det senare beslaget är bekant inom kryptorelaterad brottsbekämpning: transaktioner kan förbli synliga även när identiteten bakom en adress inte omedelbart är fastställd.
Från påstådd kryptoexploatering till Pokemon-kort
Åtalet beskriver en väg från kontraktsexploatering till konsumtion, inte bara ett stort saldo i en plånbok. Åklagare hävdar att Spalletta, efter att ha kommit över kryptovalutan, flyttade den genom en komplex serie transaktioner över olika plånböcker och blockkedjor, inklusive genom Tornado Cash. Meddelandet ger inte en fullständig redogörelse för varje enskild transaktionsspårning.
De påstådda inköpen gör fallet ovanligt konkret. DOJ uppger att vinsterna finansierade ett Black Lotus Magic: The Gathering-kort för cirka 500 000 dollar och 18 förseglade Alpha booster-paket för cirka 1,51 miljoner dollar. Det listas även en förseglad förstautgåva av en Pokémon booster-box prissatt till cirka 257 500 dollar och ett komplett set av förstautgåvan av Pokémon Base Set för cirka 750 000 dollar.
Det påstådda kryptospendandet sträckte sig bortom Pokemon-kort. Åtalet identifierar en bit tyg från bröderna Wrights originalflygplan, som senare togs till månen av astronauten Neil Armstrong, köpt för cirka 137 500 dollar, samt en Eid Mar Denarius som högtidlighåller mordet på Julius Caesar, köpt för cirka 601 545 dollar.
Enligt pressmeddelandet var fotografier av Black Lotus-kortet, tyget och vissa mynt kopplade till föremål som beslagtagits från Spallettas bostad under en domstolsgodkänd husrannsakan.
Dessa detaljer beskriver regeringens anklagelser, inte en bevisad redogörelse för vem som betalat för varje föremål eller vilken plånbok som finansierat varje köp. DOJ:s meddelande uppger inte att cirka 26 miljoner dollar passerat genom Tornado Cash, en siffra som förekommer i kompletterande rapportering. Det numret bör inte betraktas som fastställt av själva åtalet.
Rutten är viktig för utredare eftersom konvertering till samlarobjekt kan skapa register och motparter utanför blockkedjan. Överföringar på kedjan kan identifiera ett rörelsemönster, medan inköpsregister, beslagtagen egendom och andra bevis potentiellt kan hjälpa till att koppla det mönstret till en person. Den beviskraftiga styrkan ligger i den kombinerade kedjan, inte i någon enskild överföring eller värdefullt föremål.
Detta gör fallet relevant även utanför Uranium Finance. Kryptotillgångar kan flyttas snabbt mellan adresser, medan konsekvenserna av ett DeFi-hack kvarstår genom börskollapser, rättsliga åtgärder och återhämtningsförsök flera år senare. Att spåra stulna tillgångar efter andra börsintrång presenterar samma problem: att följa rörelser är inte detsamma som att bevisa ägarskap eller uppsåt.
Missa inte
in numbers
