Hacker de Uranium Finance gastó millones en cartas Pokémon

Una acusación formal en Estados Unidos alega que dos exploits contra el protocolo de criptomonedas Uranium Finance fueron movidos a través de Tornado Cash antes de ser utilizados para adquirir cartas de Pokémon y otros objetos de colección. Los cargos contra Jonathan Spalletta siguen siendo acusaciones y no constituyen un veredicto judicial de culpabilidad.

El anuncio de la acusación por parte del Departamento de Justicia de EE. UU. (DOJ), emitido el 30 de marzo de 2026, describe los presuntos hackeos, la ruta de lavado de dinero y las compras realizadas.

Uranium era un exchange de criptomonedas descentralizado que permitía a los usuarios depositar e intercambiar activos mediante pools de liquidez. Los fiscales alegan que Spalletta explotó sus contratos inteligentes en dos ocasiones durante abril de 2021, transformando debilidades en la lógica de retiros y recompensas en pérdidas sustanciales para la plataforma y sus usuarios.

A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP

— Bloomberg (@business) September 29, 2026

El primer ataque presunto tuvo lugar el 8 de abril. La acusación indica que una secuencia engañosa de transacciones en contratos inteligentes permitió a Spalletta retirar más tokens de recompensa de los que le correspondían, extrayendo criptoactivos por un valor aproximado de $1.4 millones. Además, se alega que repitió las transacciones hasta agotar casi todos los tokens de recompensa del pool.

El 28 de abril, según los fiscales, explotó un error independiente que afectaba a los retiros en 26 pools de liquidez de Uranium, lo que resultó en el robo de aproximadamente $53.3 millones en criptomonedas. El exchange cerró tras este segundo hackeo debido a la falta de fondos. Estas cifras corresponden al relato del DOJ sobre dos ataques distintos; el comunicado no establece un total combinado definitivo más allá de describir que los cargos involucran más de $50 millones.

El caso ha avanzado mucho más allá del exploit original. El DOJ informó que Spalletta se entregó tras hacerse pública la acusación el 30 de marzo de 2026, y debía comparecer ante la jueza magistrada de EE. UU. Ona T. Wang. Por otra parte, las autoridades incautaron criptomonedas por un valor aproximado de $31 millones el 24 de febrero de 2025, bajo una orden de incautación autorizada judicialmente.

Esa prolongada brecha entre los presuntos ataques de 2021 y la incautación posterior es común en la aplicación de la ley cripto: las transacciones pueden permanecer visibles incluso cuando la identidad detrás de una dirección no se establece de inmediato.

De un presunto exploit cripto a cartas de Pokémon

La acusación describe una ruta que va desde la explotación del contrato hasta el gasto, y no simplemente la existencia de un saldo elevado en una billetera. Los fiscales alegan que, tras obtener las criptomonedas, Spalletta las movió a través de una compleja serie de transacciones en diversas billeteras y cadenas de bloques, incluyendo el uso de Tornado Cash. El comunicado no ofrece un rastreo completo transacción por transacción.

Las presuntas compras hacen que el caso sea inusualmente tangible. El DOJ afirma que los fondos financiaron una carta Black Lotus de Magic: The Gathering por unos $500,000 y 18 paquetes de refuerzo Alpha sellados por aproximadamente $1.51 millones. También se menciona una caja de sobres de Pokémon de primera edición sellada con un precio de unos $257,500 y un set básico completo de Pokémon de primera edición por aproximadamente $750,000.

El gasto de las criptomonedas se extendió más allá de las cartas coleccionables. La acusación identifica un trozo de tela del avión original de los hermanos Wright, que más tarde fue llevado a la luna por el astronauta Neil Armstrong, comprado por unos $137,500, y un denario Eid Mar que conmemora el asesinato de Julio César, adquirido por aproximadamente $601,545.

El informe señala que fotografías de la carta Black Lotus, la tela y ciertas monedas estaban asociadas con artículos incautados en la residencia de Spalletta bajo una orden de registro autorizada judicialmente.

Estos detalles describen las alegaciones del gobierno, no un relato probado de quién pagó por cada artículo o qué billetera financió cada compra. El comunicado del DOJ no afirma que aproximadamente $26 millones pasaron por Tornado Cash, una cifra que aparece en informes suplementarios. Ese número no debe tratarse como un hecho establecido por el anuncio de la acusación en sí mismo.

La ruta es relevante para los investigadores porque la conversión en objetos de colección puede generar registros y contrapartes fuera de la blockchain. Mientras que las transferencias on-chain pueden identificar un patrón de movimiento, los registros de compra, las propiedades incautadas y otras pruebas pueden ayudar potencialmente a conectar ese patrón con una persona. La fuerza probatoria reside en la cadena combinada, no en una sola transferencia u objeto de alto valor.

Esto hace que el caso sea relevante más allá de Uranium Finance. Los activos cripto pueden moverse rápidamente entre direcciones, mientras que las consecuencias de un hackeo DeFi persisten a través de fallos en los exchanges, acciones legales y esfuerzos de recuperación años después. El rastreo de activos robados tras otras brechas en exchanges presenta el mismo problema: seguir el movimiento no es idéntico a probar la propiedad o la intención.