Uranium Finance Saldırganı Çaldığı Kriptolarla Pokemon Kartı Aldı

ABD’de hazırlanan bir iddianame, Uranium Finance protokolüne düzenlenen iki ayrı kripto saldırısından elde edilen fonların Tornado Cash üzerinden geçirildiğini ve ardından Pokemon kartları ile diğer koleksiyon ürünlerini satın almak için kullanıldığını öne sürüyor. Jonathan Spalletta hakkındaki suçlamalar şu an için iddia aşamasında olup henüz bir mahkumiyet kararı bulunmamaktadır.

ABD Adalet Bakanlığı (DOJ) tarafından 30 Mart 2026 tarihinde yapılan duyuruda, söz konusu hack olayları, aklama yöntemleri ve yapılan harcamalar detaylandırıldı. Kullanıcıların likidite havuzları aracılığıyla varlık yatırıp takas etmelerine olanak tanıyan merkeziyetsiz bir borsa olan Uranium, savcıların iddiasına göre Nisan 2021’de Spalletta tarafından iki kez hedef alındı. Spalletta’nın, akıllı sözleşmelerdeki çekim ve ödül mantığı hatalarını kullanarak borsa ve kullanıcıları büyük zarara uğrattığı belirtiliyor.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

İddianameye göre ilk saldırı 8 Nisan’da gerçekleşti. Spalletta’nın, bir dizi aldatıcı akıllı sözleşme işlemiyle hak ettiğinden çok daha fazla ödül token’ı çektiği ve yaklaşık 1,4 milyon dolar değerinde kripto varlık elde ettiği iddia ediliyor. Ayrıca, havuzdaki neredeyse tüm ödül token’larını tüketene kadar bu işlemleri tekrarladığı öne sürülüyor.

Savcılar, 28 Nisan’da 26 farklı Uranium likidite havuzunu etkileyen ayrı bir çekim hatasının suistimal edildiğini ve bu yolla yaklaşık 53,3 milyon dolarlık kripto varlığın çalındığını iddia ediyor. Borsa, ikinci saldırının ardından fon yetersizliği nedeniyle faaliyetlerini durdurmuştu. DOJ, bu rakamları iki ayrı saldırı olarak kayda geçerken, toplam zararın 50 milyon doların üzerinde olduğunu vurguluyor.

Dava süreci, ilk saldırıların çok ötesine geçmiş durumda. DOJ, iddianamenin 30 Mart 2026’da açıklanmasının ardından Spalletta’nın teslim olduğunu ve ABD Sulh Hakimi Ona T. Wang’ın huzuruna çıkacağını duyurdu. Buna ek olarak, kolluk kuvvetleri 24 Şubat 2025 tarihinde adli bir el koyma emriyle yaklaşık 31 milyon dolar değerinde kripto paraya el koymuştu.

2021’deki saldırılar ile 2025’teki el koyma işlemi arasındaki uzun süre, kripto dünyasındaki soruşturmalar için alışıldık bir durumdur; zira bir adresin arkasındaki kimlik hemen tespit edilemese bile işlemler blok zinciri üzerinde görünür kalmaya devam eder.

Kripto Saldırısından Pokemon Kartlarına Uzanan Yol

İddianame, sadece bir cüzdandaki yüksek bakiyeyi değil, sözleşme suistimalinden harcamaya kadar uzanan bir rotayı tarif ediyor. Savcılar, Spalletta’nın kripto paraları ele geçirdikten sonra, Tornado Cash dahil olmak üzere cüzdanlar ve blok zincirleri arasında karmaşık bir işlem serisi yürüttüğünü iddia ediyor. Duyuruda, işlemlerin tam bir dökümü veya izleme raporu ise yer almadı.

Söz konusu satın alımlar, davayı alışılmadık derecede somut hale getiriyor. DOJ’un iddiasına göre elde edilen gelirlerle yaklaşık 500.000 dolara bir Black Lotus Magic: The Gathering kartı ve 1,51 milyon dolara 18 adet mühürlü Alpha başlangıç paketi satın alındı. Ayrıca listede 257.500 dolar değerinde birinci nesil mühürlü bir Pokémon kutusu ve 750.000 dolara tamamlanmış bir birinci nesil Pokémon temel seti de bulunuyor.

İddia edilen harcamalar sadece kartlarla sınırlı değil. İddianamede, Wright kardeşlerin orijinal uçağından bir kumaş parçası (daha sonra Neil Armstrong tarafından aya götürülmüştü) için 137.500 dolar ve Julius Caesar’ın suikastını anan bir Eid Mar Denarius sikkesi için 601.545 dolar ödendiği belirtiliyor.

Açıklamada, Black Lotus kartı, kumaş parçası ve bazı sikkelerin fotoğraflarının, adli arama emriyle Spalletta’nın ikametgahında ele geçirilen eşyalarla ilişkili olduğu ifade edildi.

Bu ayrıntılar hükümetin iddialarını yansıtmakta olup, her bir ürünün kim tarafından veya hangi cüzdanla ödendiğine dair kesinleşmiş bir mahkeme kararı değildir. DOJ duyurusu, ek raporlarda geçen “26 milyon doların Tornado Cash’ten geçtiği” bilgisini doğrulamamış; bu rakamın iddianame tarafından kesinleşmiş bir veri olarak kabul edilmemesi gerektiğini belirtmiştir.

Araştırmacılar için bu rota kritik önem taşıyor; çünkü varlıkların koleksiyon ürünlerine dönüştürülmesi, blok zinciri dışında kayıtlar ve karşı taraflar oluşturur. Zincir üstü transferler bir hareket modelini ortaya koyarken; satın alma kayıtları, el konulan mülkler ve diğer kanıtlar bu modelin bir kişiyle ilişkilendirilmesine yardımcı olabilir. Davadaki kanıt gücü, tek bir transferden veya değerli bir nesneden ziyade, bu birleşik zincirde yatmaktadır.

Bu durum, davayı Uranium Finance olayının ötesine taşıyor. Kripto varlıklar adresler arasında hızla yer değiştirebilirken, bir DeFi saldırısının sonuçları; borsa iflasları, yasal işlemler ve geri alma çabalarıyla yıllar boyu sürebiliyor. Çalınan varlıkların izini sürmek, mülkiyeti veya kasıtlı niyeti kanıtlamakla aynı şey değildir.