Hacker stiehlt 53 Millionen Dollar in Kryptowährungen und kauft Pokémon-Karten

Eine US-Jury hat einen Hacker schuldig gesprochen, der mehr als 53 Millionen Dollar von der Kryptoplattform Uranium Finance gestohlen hatte. Einen Teil seiner Beute gab er anschließend für ungewöhnliche Käufe aus: seltene Pokémonkarten, andere Sammelkarten und historische Geldstücke. Fünf Jahre nach dem Hack hat das Verfahren damit eine wichtige Wendung genommen.

Kleiner Fehler ermöglicht Millionen-Hack

Bei dem Schuldspruch geht es um Jonathan Spalletta, einen US-amerikanischen Berater für Cybersicherheit. Nach Angaben der Staatsanwaltschaft nutzte er im April 2021 Schwachstellen in der Software von Uranium Finance aus. Die dezentrale Handelsplattform (DeFi) lief auf der BNB Chain von Binance.

Der erste Hack ereignete sich am 8. April. Dabei erbeutete Spalletta rund 1,4 Millionen Dollar. Später zahlte er etwa eine Million Dollar zurück – angeblich im Rahmen einer Vereinbarung über eine Belohnung für das Aufdecken einer Sicherheitslücke.

Wenige Wochen später griff er jedoch erneut an. Diesmal nutzte er einen Berechnungsfehler in einem Smart Contract aus, einem digitalen Vertrag, der Transaktionen automatisch ausführt.

Eine fehlende Null ermöglichte es Spalletta, Gelder aus 26 verschiedenen Liquiditätspools abzuziehen. Der Schaden belief sich auf rund 53,3 Millionen Dollar. Der Plattform blieben dadurch kaum noch Mittel.

Laut Anklage schrieb er nach dem ersten Angriff in einer Nachricht sinngemäß:

„Das ist ohnehin nur wertloses Internetgeld.“

Millionen für Pokémonkarten ausgegeben

Besonders auffällig ist, was Spalletta anschließend mit seiner Krypto-Beute machte. Laut Staatsanwaltschaft schleuste er rund 26 Millionen Dollar durch Tornado Cash. Der Kryptodienst erschwert es, die Herkunft von Transaktionen nachzuvollziehen.

Einen Teil des Geldes gab er für äußerst teure Sammlerstücke aus. So kaufte er für etwa 500.000 Dollar eine seltene Black-Lotus-Karte aus dem Spiel Magic: The Gathering.

Für einen vollständigen Satz der ursprünglichen Pokémonkarten in der ersten Auflage soll er zudem 750.000 Dollar bezahlt haben. Weitere 257.500 Dollar gab er für eine versiegelte Pokémon-Boosterbox aus.

Spalletta kaufte außerdem ein seltenes römisches Geldstück für mehr als 600.000 Dollar sowie ein Stück Stoff vom Flugzeug der Brüder Wright. Dieses Stoffstück hatte der Astronaut Neil Armstrong einst zum Mond mitgenommen.

Die US-Behörden beschlagnahmten bereits im Februar 2025 Kryptowerte im Umfang von rund 31 Millionen Dollar sowie mehrere Sammlerstücke.

Im Prozess argumentierte die Verteidigung, es lasse sich nicht beweisen, wer während des Hacks tatsächlich am Computer gesessen habe. Die Jury folgte dieser Argumentation nicht und sprach Spalletta wegen Computerbetrugs und Geldwäsche schuldig.

Für Computerbetrug drohen ihm bis zu zehn Jahre Haft, für Geldwäsche bis zu zwanzig Jahre. Wann das Gericht das Strafmaß festlegt, ist noch nicht bekannt.