Ataki na Uranium Finance: Od kryptowalut po karty Pokemon

Amerykański akt oskarżenia zarzuca, że środki z dwóch exploitów wymierzonych w platformę kryptowalutową Uranium Finance zostały przepuszczone przez mikser Tornado Cash, a następnie wykorzystane do zakupu kart Pokemon i innych przedmiotów kolekcjonerskich. Postawione Jonathanowi Spalletcie zarzuty pozostają na razie oskarżeniami, a nie prawomocnym wyrokiem sądu o winie.

Ogłoszenie Departamentu Sprawiedliwości USA (DOJ) z 30 marca 2026 roku szczegółowo opisuje rzekome ataki hakerskie, trasę prania pieniędzy oraz dokonane zakupy. Uranium było zdecentralizowaną giełdą kryptowalut, która umożliwiała użytkownikom deponowanie i wymianę aktywów w ramach pul płynności. Prokuratorzy twierdzą, że Spalletta dwukrotnie wykorzystał luki w inteligentnych kontraktach platformy w kwietniu 2021 roku, zamieniając błędy w logice wypłat i nagród w dotkliwe straty dla giełdy oraz jej użytkowników.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

Według aktu oskarżenia, pierwszy atak miał miejsce 8 kwietnia. Manipulacja sekwencją transakcji w smart-kontraktach pozwoliła Spalletcie wypłacić więcej tokenów nagród, niż mu przysługiwało, co przełożyło się na przejęcie kryptowalut o wartości około 1,4 miliona dolarów. Śledczy twierdzą, że powtarzał on te operacje, aż do niemal całkowitego opróżnienia puli nagród.

Następnie, 28 kwietnia, prokuratorzy zarzucają mu wykorzystanie innego błędu dotyczącego wypłat w 26 pulach płynności Uranium, co skutkowało kradzieżą kryptowalut o wartości około 53,3 miliona dolarów. Po tym drugim ataku giełda została zamknięta z powodu braku funduszy. Przedstawione liczby to dane DOJ dotyczące dwóch oddzielnych incydentów; komunikat nie określa jednej, ostatecznej łącznej kwoty poza stwierdzeniem, że zarzuty dotyczą ponad 50 milionów dolarów.

Sprawa wyszła już daleko poza sam moment exploitu. DOJ poinformowało, że Spalletta oddał się w ręce służb po odpieczętowaniu aktu oskarżenia 30 marca 2026 roku i miał stawić się przed sędzią pokoju USA, Oną T. Wang. Niezależnie od tego, 24 lutego 2025 roku organy ścigania zajęły kryptowaluty o wartości około 31 milionów dolarów na podstawie sądowego nakazu zajęcia.

Długi odstęp czasu między domniemanymi atakami z 2021 roku a późniejszym zajęciem środków jest zjawiskiem typowym dla egzekwowania prawa w sektorze krypto: transakcje pozostają widoczne w sieci, nawet jeśli tożsamość osoby stojącej za danym adresem nie jest natychmiast ustalona.

Od exploitu krypto po karty Pokemon

Akt oskarżenia opisuje drogę od wykorzystania kontraktu do wydawania pieniędzy, a nie tylko wysokie saldo w portfelu. Prokuratorzy twierdzą, że po zdobyciu kryptowalut Spalletta przesyłał je przez skomplikowaną serię transakcji między portfelami i różnymi blockchainami, w tym za pośrednictwem Tornado Cash. Oficjalny komunikat nie zawiera pełnego, szczegółowego zapisu śledzenia każdej transakcji krok po kroku.

Szczegóły dotyczące zakupów nadają tej sprawie wyjątkowo namacalny charakter. Według DOJ, zyski z przestępstwa posłużyły do zakupu karty Black Lotus z gry Magic: The Gathering za około 500 000 dolarów oraz 18 zapieczętowanych zestawów dodatkowych (boosterów) z edycji Alpha za około 1,51 miliona dolarów. Na liście znalazło się także zapieczętowane pudełko z pierwszą edycją kart Pokémon (booster box) wycenione na około 257 500 dolarów oraz kompletny zestaw bazowy Pokémon z pierwszej edycji za około 750 000 dolarów.

Wydatki nie ograniczały się jednak tylko do kart kolekcjonerskich. Akt oskarżenia wymienia fragment tkaniny z oryginalnego samolotu braci Wright, który później został zabrany na Księżyc przez astronautę Neila Armstronga (zakupiony za około 137 500 dolarów) oraz denar Eid Mar upamiętniający zabójstwo Juliusza Cezara, kupiony za około 601 545 dolarów.

W komunikacie zaznaczono, że zdjęcia karty Black Lotus, fragmentu tkaniny oraz niektórych monet powiązano z przedmiotami zajętymi w miejscu zamieszkania Spalletty podczas przeszukania dokonanego na podstawie sądowego nakazu.

Powyższe szczegóły stanowią oskarżenia rządu, a nie udowodniony opis tego, kto zapłacił za każdy przedmiot lub z którego portfela sfinansowano dany zakup. Komunikat DOJ nie potwierdza również, że przez Tornado Cash przeszło około 26 milionów dolarów – liczba ta pojawia się w dodatkowych raportach medialnych, ale nie powinna być traktowana jako fakt ustalony bezpośrednio przez akt oskarżenia.

Trasa przepływu środków jest kluczowa dla śledczych, ponieważ zamiana aktywów na przedmioty kolekcjonerskie tworzy ślady i angażuje strony trzecie poza blockchainem. Transfery on-chain mogą ujawnić wzorzec ruchu, podczas gdy dokumentacja zakupowa i zajęte mienie pomagają powiązać ten wzorzec z konkretną osobą. Siła dowodowa tkwi w całym łańcuchu powiązań, a nie w pojedynczym przelewie czy wartościowym przedmiocie.

Sprawa ta ma znaczenie wykraczające poza Uranium Finance. Aktywa kryptograficzne mogą szybko przemieszczać się między adresami, ale konsekwencje hacku DeFi trwają latami – poprzez upadki giełd, działania organów ścigania i próby odzyskania środków. Śledzenie skradzionych aktywów w innych przypadkach naruszeń bezpieczeństwa wiąże się z tym samym wyzwaniem: monitorowanie ruchu nie jest tożsame z udowodnieniem własności lub intencji.