曼哈顿陪审团裁定Jonathan Spalletta有罪:Uranium Finance被盗5330万美元洗钱成812枚以太坊(ETH)

曼哈顿陪审团裁定Uranium Finance黑客有罪

曼哈顿一个联邦陪审团于周三裁定,网络安全顾问Jonathan Spalletta在涉及计算机欺诈与洗钱罪名的起诉中全部罪名成立。案件源于2021年针对去中心化交易所Uranium Finance的两次攻击,合计被盗金额接近5500万美元。纽约南区联邦检察官办公室在其定罪公告中披露了这一裁决,审判历时六天,由联邦地区法官Jed Rakoff主持,陪审团仅商议约两小时便作出一致裁定。Spalletta现年36岁,来自马里兰州罗克维尔,已于3月30日向当局自首,起诉文件中列明其网络化名为“Cthulhon”和“Jspalletta”,案件由该办公室的复杂欺诈与网络犯罪部门负责。两项罪名的法定最高刑期差异明显:计算机欺诈罪最高10年,洗钱罪最高20年。检察官办公室指出,这些上限由国会设定,实际刑期将由法官酌情决定。整个审判的核心是交易记录,而非以太坊(ETH)价格:让Spalletta定罪的,是政府将赃款与之挂钩的链上痕迹。

2021年4月的两次攻击

检察官在庭审中梳理了两次攻击的经过。Uranium Finance允许用户通过流动性池存入和兑换加密货币,由智能合约(一种按既定规则自动执行的软件)托管代币并完成兑付,整个交易所以无需公司运营的方式运转。2021年4月8日,Spalletta瞄准了一个奖励合约,其运作方式类似空投类发放机制,向申领者派发代币:他通过重复执行一系列交易,领取了远超其应得的奖励,几乎抽干整个资金池,获利约140万美元。约两周后,他在给另一人的消息中描述了这次作案:“几周前我干了一票150万美元的加密劫案......智能合约里有个漏洞,我利用了它......反正加密货币都是假的网络钱。”这番轻蔑的说辞如今读来正是典型的加密领域“唱衰论调”,陪审团实际上认定它描述的就是盗窃。检察官还表示,他随后施压Uranium,让自己留下约38.6万美元作为“漏洞赏金”,政府称这笔支付是掩人耳目的幌子。2021年4月28日,他利用合约中管理提款功能的第二个缺陷,从26个流动性池中抽走约5330万美元,交易所随即关闭。辩方主张他只是调用了平台公开开放的函数,并未伪造凭证或使用恶意代码;这次漏洞利用的关键在于代码的兑付逻辑,而非交易者通过加密交易订单类型可以控制的任何因素。

宝可梦卡牌、Tornado Cash与资产查封

赃款的洗白路径先经过混币服务Tornado Cash,它用于模糊币的来源,随后资金被换成了收藏品。检察官列出的购买清单包括:一张约50万美元的黑莲花《魔法风云会》卡牌,以及18包未拆封的Alpha初版补充包,总价约151.25万美元;还有一套约75万美元的第一版宝可梦基础套装,以及一个25.75万美元的未拆封补充盒。他还花费约60.1545万美元购得一枚Eid Mar第纳尔银币,这是古罗马为纪念尤利乌斯·恺撒遇刺而铸造的钱币;另以13.75万美元买下一片莱特兄弟飞机蒙皮残片,它曾被尼尔·阿姆斯特朗带上月球。链上数据早在2024年1月就已追踪到部分线索:约250万枚BUSD从被标记为Uranium攻击者的地址转出,经由Li.fi从BNB Chain跨链至以太坊,接收地址共收集812枚Ethereum (ETH)以及约50.55万美元的稳定币。在法院授权的搜查令下,调查人员从Spalletta位于马里兰州的住所查获了黑莲花卡牌、飞机蒙皮残片和古钱币。执法部门另于2025年2月24日查获了与盗窃案相关的加密货币资产,查封时价值约3100万美元。检察官办公室的公告指引自认受害者的相关人员联系美国国土安全调查局。

量刑定于2月16日

这起判决说明了独狼式漏洞攻击的受害者追回工作能走多远。经过Tornado Cash混币、再把被盗加密货币换成卡牌和古董,都未能让资金脱离追索范围:执法人员在约3100万美元的加密资产之外,还查封了这批收藏品本身,追赃清算将在2月16日的量刑听证会上见分晓,而洗钱罪20年的最高刑期给了法官充分的裁量空间。失败的“漏洞赏金”策略是另一个教训:检察官将留存自用的38.6万美元视为犯罪意图的证据,而非从轻情节。本案的落点也颇具时代背景,DefiLlama数据显示,2026年9月Bitget遭遇的3.5亿美元被盗事件是今年最大的黑客攻击。对于在去中心化平台与最佳加密货币交易所之间权衡的用户而言,SDNY的卷宗把利弊写得清清楚楚:经过审计的合约和有问责的运营方,决定了损失最终落在谁头上。