Pokémon-Fan wegen 55-Millionen-Dollar-Hack bei Kryptoplattform vor Gericht

Ein US-amerikanischer Cybersicherheitsexperte steht wegen der Ausräumung der Kryptoplattform Uranium Finance vor Gericht. Jonathan Spalletta soll bei zwei Angriffen insgesamt Kryptowährungen im Wert von fast 55 Millionen Dollar erbeutet haben.

Bemerkenswert ist vor allem, was die Behörden später bei ihm fanden. Neben Krypto-Vermögen in Millionenhöhe besaß Spalletta unter anderem seltene Pokémon-Karten, ein römisches Geldstück und sogar ein Fragment des ersten Flugzeugs der Gebrüder Wright.

Im Mittelpunkt des Verfahrens steht jedoch eine andere Frage. Spalletta bestreitet, gehackt zu haben, und argumentiert, er habe lediglich Funktionen genutzt, die für jeden zugänglich gewesen seien.

Justiz spricht von Hack, Verteidigung widerspricht

Die Hauptverhandlung begann am Montag vor einem Bundesgericht in Manhattan. Spalletta wurde im März wegen zweier Angriffe auf Uranium Finance im Jahr 2021 angeklagt und plädiert auf nicht schuldig. Auf den schwersten Anklagepunkt stehen bis zu 20 Jahre Haft.

Nach Darstellung der US-Justiz nutzte Spalletta gezielt Softwarefehler aus, um Dutzende Millionen Dollar abzuziehen. Anschließend soll er verschiedene Methoden eingesetzt haben, um die Herkunft der Kryptowährungen zu verschleiern.

Sein Anwalt Shrey Sharma weist den Vorwurf eines Hacks zurück. Spalletta habe keine Konten übernommen, keine Schadsoftware eingesetzt und keine Sicherheitsmechanismen umgangen.

Stattdessen habe er nach Darstellung der Verteidigung Funktionen genutzt, die über die Smart Contracts von Uranium Finance regulär verfügbar waren. Dabei handelt es sich um Programme auf einer Blockchain, die Transaktionen automatisch ausführen.

Genau dieser Unterschied steht im Zentrum des Verfahrens. Die Jury muss entscheiden, ob die bewusste Ausnutzung eines Fehlers in öffentlich zugänglicher Blockchain-Software nach US-Recht als Hacking gelten kann.

Von Pokémon-Karten bis zum Stück Luftfahrtgeschichte

Spallettas Besitztümer machen den Fall zusätzlich ungewöhnlich. Bei einer Durchsuchung seiner Wohnung beschlagnahmten US-Behörden seltene Pokémon-Karten und Magic:-The-Gathering-Karten im Wert von mehr als drei Millionen Dollar.

Zudem soll er mehr als 600.000 Dollar für ein römisches Geldstück ausgegeben haben, das auf die Ermordung von Julius Caesar verweist.

Noch auffälliger war ein Kauf über 137.500 Dollar. Für diese Summe erwarb Spalletta ein Stück Stoff des ursprünglichen Flugzeugs der Gebrüder Wright. Astronaut Neil Armstrong soll später Material desselben Flugzeugs mit zum Mond genommen haben.

Darüber hinaus beschlagnahmten die Behörden digitale Coins im Wert von rund 31 Millionen Dollar.

Die Verteidigung betont, es sei nicht belegt, dass diese Besitztümer mit Erlösen aus den mutmaßlichen Angriffen gekauft wurden. Spalletta habe erst 2023 begonnen, solche Objekte zu sammeln.

Uranium Finance verlor bei zweitem Angriff mehr als 53 Millionen Dollar

Der erste mutmaßliche Angriff erfolgte über das Belohnungssystem von Uranium Finance. Nutzer konnten Kryptowährungen für den Handel bereitstellen und erhielten dafür Prämien.

Nach Angaben der Justiz entdeckte Spalletta einen Fehler, durch den er deutlich höhere Prämien erhalten konnte als vorgesehen. Er soll den Trick mehrfach wiederholt haben, bis der gesamte Prämientopf geleert war. Der Erlös belief sich auf rund 1,4 Millionen Dollar.

Anschließend soll er Uranium Finance unter Druck gesetzt haben, 386.000 Dollar als Bug-Bounty behalten zu dürfen. Dabei handelt es sich um eine Prämie, die Unternehmen an Personen zahlen können, die einen Fehler in ihrer Software entdecken und melden.

Nach Erhalt des Geldes soll Spalletta Uranium Finance laut Anklage eine unmissverständliche Botschaft geschickt haben: „Beim nächsten Mal sollte der Code vorher geprüft werden.“

Drei Wochen später kam es nach Darstellung der Justiz erneut zu einem Vorfall. Spalletta soll eine weitere Schwachstelle entdeckt haben, mit der sich manipulieren ließ, wie viel Krypto-Vermögen aus einem Liquiditätspool entnommen wurde.

Diesmal fiel die Beute deutlich größer aus. Nach Angaben der Staatsanwaltschaft verschwanden digitale Coins im Wert von mehr als 53,3 Millionen Dollar. Der Verlust war so hoch, dass Uranium Finance letztlich den Betrieb einstellte.

Danach soll Spalletta mehrere Transaktionen ausgeführt haben, um die Spur der Kryptowährungen schwerer nachvollziehbar zu machen. Dabei nutzte er nach Angaben der Justiz unter anderem den Kryptomixer Tornado Cash.

Die Staatsanwaltschaft wertet das als Hinweis auf einen vorsätzlichen Diebstahl. Die Verteidigung hält dagegen, Spalletta habe schlicht Möglichkeiten genutzt, die der Code von Uranium Finance selbst zugelassen habe. Nun muss die Jury entscheiden, welche Auslegung juristisch Bestand hat.