Vào tháng 04/2021, một lỗ hổng trên nền tảng crypto đã giúp một người lấy đi 53.3 triệu USD. Anh ta dùng một phần số tiền này để mua thẻ Pokémon. Vào ngày thứ Tư, bồi thẩm đoàn tại New York đã kết luận đây là hành vi trộm cắp.
Jonathan Spalletta, 36 tuổi, sống ở Maryland, đối mặt mức án lên tới 30 năm tù. Luật sư của anh cho rằng Spalletta chỉ dùng những công cụ mà nền tảng mở ra cho bất kỳ ai.
Lỗ hổng trả thưởng 53 triệu USD
Uranium Finance là một sàn giao dịch tiền mã hóa phi tập trung, không có công ty nào điều hành. Mọi thứ được tự động hóa bởi phần mềm smart contract, giữ token của người dùng và trả thưởng dựa trên các quy tắc cố định.
Vào ngày 08/04/2021, Spalletta phát hiện ra một lỗ hổng trong các quy tắc này. Anh ta đã tận dụng nó nhiều lần và thu về khoảng 1.4 triệu USD mà lẽ ra không được nhận, theo Bộ Tư pháp cho biết.
Hai tuần sau, Spalletta đã kể lại sự việc qua tin nhắn.
“Tôi vừa thực hiện một vụ ăn trộm crypto trị giá 1.5 triệu USD vài tuần trước… Có một lỗ hổng trong smart contract, và tôi đã khai thác nó… Crypto vốn chỉ là tiền ảo trên Internet thôi.”
Cơ quan công tố cho biết tiếp đó, Spalletta gây áp lực để Uranium cho phép anh ta giữ lại 386,000 USD dưới danh nghĩa “bug bounty” – phần thưởng báo lỗi. Tuy nhiên, chính phủ gọi đây chỉ là một trò lừa đảo.
Đến ngày 28/04, Spalletta lại phát hiện ra một lỗ hổng khác. Anh ta đã rút khoảng 53.3 triệu USD từ nhiều pool khác nhau, khiến Uranium buộc phải đóng cửa.
Từ vụ trộm crypto đến thẻ Pokémon
Ban đầu, Spalletta chuyển số tiền qua Tornado Cash, một dịch vụ giúp ẩn dấu vết nguồn gốc token.
Sau đó anh bắt đầu mua sắm. Một bộ thẻ Pokémon phiên bản đầu tiên có giá khoảng 750,000 USD, còn một hộp booster chưa mở giá 257,500 USD.
Một thẻ bài Black Lotus cực hiếm của Magic có giá 500,000 USD. Một đồng xu La Mã kỷ niệm vụ ám sát Julius Caesar được anh mua với giá 601,545 USD.
Spalletta cũng chi 137,500 USD để mua một mảnh vải máy bay của anh em nhà Wright mà Neil Armstrong từng mang lên Mặt Trăng.
Bồi thẩm đoàn chỉ mất khoảng hai giờ để kết tội Spalletta, theo Inner City Press đưa tin. BeInCrypto cũng từng đề cập tới các cáo buộc từ tháng 03.
“Như những nạn nhân của Spalletta đã biết, những lời lẽ đó hoàn toàn không đúng với sự thật,” ông Jamie McDonald, Công tố viên liên bang Mỹ chia sẻ trong một tuyên bố.
Cơ quan chức năng đã tịch thu thẻ Black Lotus, mảnh vải Mặt Trăng tại nhà Spalletta, cùng khoảng 31 triệu USD token khác.
Vụ hack 350 triệu USD trên sàn Bitget vào tháng 09/2026 hiện là vụ lớn nhất năm nay theo dữ liệu từ DefiLlama. Xem thêm
Giờ đây, thẩm phán sẽ quyết định mức án cho Spalletta.
