Uranium Finance: Hacker nach $54M-DeFi-Exploit angeklagt

Mehr als drei Jahre nach einem der schwersten Hacks im Bereich der dezentralen Finanzwirtschaft (DeFi) des Jahres 2021 hat die US-Justiz einen Verdächtigen angeklagt. Jonathan Spalletta, 36 Jahre alt, wohnhaft in Rockville, Maryland, wurde offiziell wegen Computerbetrugs und Geldwäsche im Zusammenhang mit zwei schwerwiegenden Angriffen auf die dezentrale Kryptobörse Uranium Finance angeklagt.

Laut der Anklagebehörde soll Spalletta eine ausgeklügelte Angriffsserie orchestriert haben, durch die mehr als 50 Millionen US-Dollar in Kryptowährungen entwendet wurden — was das endgültige Ende der Plattform zur Folge hatte.

Zwei Angriffsphasen

Ermittler der Complex Frauds and Cybercrime Unit rekonstruierten ein präzises Vorgehen in zwei getrennten Phasen im April 2021.

Am 8. April soll Spalletta in manipulativer Weise mit dem Smart Contract von Uranium Finance interagiert haben, um Kryptowährungs-Rewards weit über das autorisierte Maß hinaus abzuschöpfen.

Ich habe vor ein paar Wochen einen Krypto-Raub über 1,5 Millionen Dollar durchgezogen... Es gab einen Bug in einem Smart Contract und ich habe ihn ausgenutzt... Krypto ist ohnehin nur falsches Internetgeld, soll er gesagt haben.

Dieser erste Angriff erbrachte rund 1,4 Millionen US-Dollar. In einem bemerkenswert dreisten Folgeschritt soll der Angeklagte die Börse anschließend erpresst haben, ihm etwa 386.000 US-Dollar unter dem Deckmantel einer gefälschten "Bug Bounty" zu überlassen — verbunden mit dem Versprechen, keine weiteren Schäden zu verursachen.

Der eigentliche Hauptangriff folgte am 28. April 2021. Durch Ausnutzung eines kritischen Fehlers im Smart Contract, der die Abhebungslimits der Liquiditätspools regelte, leerte Spalletta 26 verschiedene Pools und entwendete Vermögenswerte im geschätzten Wert von 53,3 Millionen US-Dollar. Der Schaden war so gravierend, dass Uranium Finance den Betrieb sofort und dauerhaft einstellen musste.

Geldwäsche und Luxusausgaben

Die gestohlenen Mittel blieben nicht ungenutzt. Die Anklagebehörde wirft Spalletta vor, ein komplexes Geldwäschesystem implementiert zu haben, um die illegale Herkunft der Gelder zu verschleiern. Dabei soll er Tornado Cash genutzt haben — einen Kryptowährungs-Mixer, der von US-Behörden mit OFAC-Sanktionen belegt wurde und auch bei europäischen Strafverfolgungsbehörden im Fokus steht. Für DACH-Anleger ist relevant, dass die BaFin Mixer-Dienste als erhöhtes Geldwäscherisiko klassifiziert und deren Nutzung im regulierten Umfeld streng überwacht.

Wie in der Anklageschrift dargelegt, hat Jonathan Spalletta wiederholt Smart Contracts gehackt, um Millionen von Dollar fremden Geldes zu seinem eigenen Vorteil zu stehlen und dabei eine Kryptobörse zerstört, erklärte US-Staatsanwalt Jay Clayton.

Die "gesäuberten" Gelder sollen anschließend in materielle Sachwerte umgewandelt worden sein. Spalletta soll sich mit seltenen Sammlerstücken und antiken Münzen eingedeckt haben. Im Februar 2025 setzten Bundesbeamte diesem Treiben ein Ende und beschlagnahmten digitale Vermögenswerte im Wert von rund 31 Millionen US-Dollar aus seinen Wallets.

Ein verwundbares Ökosystem

Die Festnahme Spallettas verdeutlicht die anhaltende Verwundbarkeit des DeFi-Ökosystems. Die Zahlen für 2025 sind alarmierend: Laut Daten von PeckShield überstiegen kryptobezogene Diebstähle im Jahr 2025 die Marke von 4 Milliarden US-Dollar — ein Anstieg von 34 % gegenüber dem Vorjahr. Smart-Contract-Schwachstellen, wie sie der Angeklagte ausgenutzt haben soll, bleiben das meistgenutzte Angriffsvehikel für Cyberkriminelle.

SPALLETTA, 36, aus Rockville, Maryland, wird in einem Anklagepunkt wegen Computerbetrugs beschuldigt, der mit einer Höchststrafe von 10 Jahren Haft verbunden ist, sowie in einem weiteren Anklagepunkt wegen Geldwäsche, der mit einer Höchststrafe von 20 Jahren Haft verbunden ist, heißt es in der Pressemitteilung des DOJ.

Jonathan Spalletta droht nun eine Gesamtfreiheitsstrafe von bis zu 30 Jahren. Der Fall ist eine eindringliche Mahnung für die gesamte Branche: Während die Blockchain-Technologie Transparenz verspricht, kann ihre Unveränderlichkeit zur Schwachstelle werden, wenn der Code unentdeckte Sicherheitslücken aufweist. Die US-amerikanische Justiz demonstriert mit diesem Fall, dass On-Chain-Anonymität kein verlässlicher Schutz vor strafrechtlicher Verfolgung mehr ist — eine Botschaft, die auch für den DACH-Kryptomarkt Relevanz besitzt.