O hack do Uranium Finance demonstra que uma simples falha de código pode roubar milhões e ativar a ação legal no mundo cripto

Em abril de 2021, uma vulnerabilidade no código de uma exchange descentralizada pequena terminou com mais de 50 milhões de dólares em ativos digitais desaparecendo em questão de minutos. Agora, quase quatro anos depois, as autoridades dos Estados Unidos apresentaram acusações contra um homem de Maryland, acusando de ter protagonizado esse roubo e de lavar boa parte do sutraído através de ferramentas próprias do ecossistema cripto.

Segundo a Procuradoria do Distrito Sul de Nova Iorque, o processado, identificado como Jonathan Spalletta, teria atacado a plataforma Uranium Finance em dois ataques separados e aproveitado erros de programação nos contratos inteligentes para extrair fundos das reservas de liquidez. O Departamento de Justiça detalha os fatos em um comunicado público e na acusação que foi deslacrada recentemente; pode consultar-se a nota oficial aqui e a acusação completa.

Os cargos descrevem duas explorações distintas. Na primeira, o atacante manipulou uma variável do contrato inteligente que controlava bónus, forçando retiradas que não correspondiam e drenando centenas de milhares de dólares. Três semanas depois, aproveitou outra falha - um erro de um único carácter na lógica de verificação de transacções - que permitiu retenções fraudulentas equivalentes a retirar quase a totalidade dos ativos de 26 pools de liquidez, levando cerca de 53,3 milhões de dólares e deixando o projeto sem fundos suficientes para continuar operando.

Que um simples erro de código tenha consequências tão dramáticas não é por acaso: as plataformas que funcionam com contratos inteligentes automatizados, conhecidos como Automated Market Makers (AMM), dependem de regras imutáveis escritas em código. Quando essas regras têm um bug, as operações são executadas exatamente segundo o programado — mesmo que isso significa pagar tokens que não foram depositados — e a reversão pode ser impossível se não existirem mecanismos de controle adequados. Para entender o modelo, é útil rever a explicação técnica dos AMM, como a que publicam projetos como Uniswap.

Após apropriar-se dos fundos, a acusação afirma que Spalletta lavou parte do botín através de trocas descentralizadas e mediante o uso de misturadores de criptomoedas. Entre as plataformas historicamente assinaladas por facilitar o branqueamento de activos figura Tornado Cash; não é por acaso que as autoridades norte-americanas tenham sancionado esse serviço em 2022 pelo seu uso em operações ilícitas, o que ilustra os riscos legais associados a certos serviços de mistura. Você pode consultar a ação do Tesouro dos EUA contra Tornado Cash na sua nota oficial aqui.

O rastro dos fundos, no entanto, não desapareceu de tudo. Ferramentas de pesquisa de blockchain e empresas forenses especializadas vêm desenvolvendo técnicas cada vez mais precisas para seguir movimentos entre carteiras e fechar as portas a quem tenta esconder procedências. Pesquisadores e assinaturas do setor analisaram a rastreabilidade do caso Uranium e mostraram como, apesar das camadas de mistura, foi possível vincular endereços e recuperar ativos, algo que apoiou a atuação das autoridades e a apreensão posterior.

Parte do dinheiro, segundo o Ministério Público, tornou objetos de coleccionismo de alto valor: cartas de Magic: The Gathering, packs selados de edições antigas, uma coleção completa da primeira edição de Pokémon e até uma moeda romana antiga, entre outras aquisições. Esses bens foram localizados e decomisados em fevereiro de 2025 mediante uma ordem de registro autorizada por um tribunal; além disso, recuperaram cerca de 31 milhões de dólares em criptomoedas vinculadas aos endereços do acusado.

As consequências legais enfrentadas pelo acusado são sérias: a acusação contempla acusações por fraude informática — com penas que podem atingir os dez anos de prisão — e acusações por lavagem de dinheiro, que acarretamos sanções mais duras no sistema penal federal. Além das penas individuais, o caso sublinha que as transações em blockchain, por muito descentralizadas e anônimas que possam parecer, não estão fora do alcance da lei nem da investigação tecnológica quando se vinculam atividades criminosas.

Este episódio é uma lição prática para desenvolvedores, projetos DeFi e usuários: a segurança do código não pode ser uma tarefa secundária. Auditorias rigorosas, programas de testes automatizados que incluam controlos sobre variáveis críticas, revisões comunitárias e mecanismos de governação preparados para responder a falhas são elementos essenciais para reduzir o risco de falhas catastróficas. Recorda também que a crise de confiança que geram ataques desta magnitude afecta não só o projecto em causa, mas também toda a percepção pública sobre as finanças descentralizadas.

Finalmente, o caso abre perguntas sobre a responsabilidade em ambientes de software aberto: quem responde quando o código falha, o auditor, a equipe do projeto, os usuários que forneceram liquidez? A resposta legal pode levar a cabo, mas a prática – e a recente ação das autoridades – sugere que quem explotem vulnerabilidades com fins lucrativos poderão ser perseguidos e processados com o mesmo rigor que no mundo financeiro tradicional.

Para aqueles que querem aprofundar a informação oficial, a declaração do Departamento de Justiça está disponível aqui, e o texto da acusação pode ser lido nesta ligação. Para um ponto de vista jornalístico e técnico complementar sobre a detenção e o caso, podem ser consultados relatórios de meios especializados como BleepingComputer e, para contexto sobre o risco que os misturadores representam, a nota do Gabinete do Tesouro sobre Tornado Cash citada acima.

O episódio é, em última análise, um lembrete de que no mundo cripto tecnologia e lei convergem: um bug pode desencadear perdas reais e o anonimato é cada vez mais relativo frente a técnicas forenses avançadas e à ação coordenada das autoridades.