La Fiscalía de Estados Unidos acusa a Jonathan Spalletta de explotar en dos ocasiones los contratos inteligentes de Uranium Finance en abril de 2021 y de mover posteriormente los fondos a través de varias billeteras y cadenas de bloques, incluido Tornado Cash. Según el Departamento de Justicia (DOJ), parte de las criptomonedas se utilizó para comprar cartas raras de Pokémon y Magic: The Gathering, además de otros objetos de colección.
Los cargos, anunciados el 30 de marzo de 2026, siguen siendo acusaciones y no constituyen una declaración judicial de culpabilidad. El DOJ sostiene que los dos ataques provocaron pérdidas de más de 50 millones de dólares, aunque su comunicado describe por separado el importe de cada exploit y no fija un total combinado definitivo.
Dos ataques contra los contratos de Uranium
Uranium Finance operaba como un exchange descentralizado en el que los usuarios podían depositar e intercambiar activos mediante pools de liquidez. La acusación sitúa el primer ataque el 8 de abril de 2021. Spalletta habría utilizado una secuencia de transacciones diseñada para aprovechar un fallo en la lógica de recompensas y retirar más tokens de los que le correspondían.
El valor de los criptoactivos extraídos en esa primera operación rondaría los 1,4 millones de dólares. Los fiscales alegan además que las transacciones se repitieron hasta agotar casi todos los tokens de recompensa disponibles en el pool.
El segundo episodio habría ocurrido el 28 de abril. En este caso, la vulnerabilidad afectaba al mecanismo de retiros de 26 pools de liquidez. El DOJ calcula que el ataque permitió sustraer aproximadamente 53,3 millones de dólares en criptomonedas. Uranium Finance terminó cerrando después de ese incidente por falta de fondos.
La acusación no presenta estas cantidades como una única cifra agregada. Se trata, según el relato de los fiscales, de dos explotaciones distintas y de importes calculados para cada una de ellas.
De los movimientos en blockchain a los objetos de colección
El caso no se limita a rastrear un saldo en una dirección. Las autoridades sostienen que, tras obtener los fondos, Spalletta los distribuyó mediante una cadena compleja de operaciones entre diferentes billeteras y redes, con el uso de Tornado Cash entre los mecanismos empleados. El comunicado del DOJ no ofrece un seguimiento completo de cada transacción ni afirma que una cifra concreta, como los aproximadamente 26 millones de dólares citados en informaciones complementarias, pasara por ese servicio.
Según la acusación, una parte del dinero acabó vinculada a compras de alto valor. Entre ellas figuran una carta Black Lotus de Magic: The Gathering, adquirida por unos 500.000 dólares, y 18 paquetes de refuerzo Alpha sellados, por aproximadamente 1,51 millones de dólares. También se mencionan una caja sellada de sobres de Pokémon de primera edición, valorada en unos 257.500 dólares, y un set básico completo de Pokémon de primera edición, por cerca de 750.000 dólares.
La lista incluye otros bienes singulares: un fragmento de tela del avión original de los hermanos Wright que posteriormente fue llevado a la Luna por Neil Armstrong, comprado por unos 137.500 dólares, y un denario Eid Mar relacionado con el asesinato de Julio César, adquirido por aproximadamente 601.545 dólares.
El DOJ señala que fotografías de la carta Black Lotus, de la tela y de algunas monedas aparecieron asociadas a artículos incautados en el domicilio de Spalletta durante un registro autorizado judicialmente. No obstante, el comunicado presenta estos elementos como parte de las alegaciones del Gobierno y no demuestra por sí solo qué billetera financió cada compra ni quién efectuó materialmente cada pago.
Una investigación que se prolonga cinco años
Spalletta se entregó después de que la acusación se hiciera pública y debía comparecer ante la jueza magistrada Ona T. Wang. Además, las autoridades incautaron el 24 de febrero de 2025 criptomonedas valoradas aproximadamente en 31 millones de dólares, mediante una orden aprobada por un tribunal.
La distancia temporal entre los ataques de 2021 y esa incautación refleja una dificultad habitual en las investigaciones sobre delitos cripto. Las transacciones permanecen registradas en la blockchain, pero identificar a la persona que controla una dirección puede requerir años de trabajo y pruebas externas. Los registros de compras, los bienes recuperados y las contrapartes comerciales pueden ayudar a conectar los movimientos digitales con una identidad concreta.
El caso de Uranium Finance ilustra así la diferencia entre seguir el recorrido de unos activos y demostrar su propiedad o la intención de quien los movió. La acusación deberá probar esa cadena de hechos ante los tribunales.
