曼哈顿联邦陪审团裁定：马里兰州网络安全顾问因黑客攻击 Uranium Finance 盗取 5470 万美元被判有罪
一个曼哈顿联邦陪审团裁定，马里兰州的网络安全顾问乔纳森·斯帕莱塔（Jonathan Spalletta）犯有罪行。他在 2021 年 4 月的两次黑客攻击中，从去中心化交易所 Uranium Finance 盗取了约 5470 万美元。
本案的情节宛如一场加密货币与收藏品交织的狂热梦境：被盗资金通过 Tornado Cash 混币器流转，随后被用于购买历史上最昂贵的《万智牌》卡牌之一、一套初版宝可梦卡牌、一枚古罗马硬币，以及一块曾随宇航员前往月球的织物碎片。
判决结果
10 月 7 日星期三，经过为期六天的庭审，由美国地区法官杰德·拉科夫（Jed Rakoff）主持的陪审团裁定，来自马里兰州罗克维尔市、现年 36 岁的斯帕莱塔两项罪名成立：计算机欺诈和洗钱。计算机欺诈罪最高可判处 10 年监禁，洗钱罪最高可判处 20 年监禁。在网络世界中，斯帕莱塔使用过“Cthulhon”和“Jspalletta”等化名。
美国检察官贾米·麦克唐纳（Jamie McDonald）表示：“斯帕莱塔的犯罪行为导致普通人损失了真实货币，金额超过 5000 万美元，并导致整个加密货币平台崩溃。”纽约南区联邦检察官办公室补充称，其检察官及机构合作伙伴已确保其“虚拟世界的犯罪行为以现实世界的刑事定罪告终”。
第一次黑客攻击：漏洞与所谓的“赏金”
Uranium Finance 是一个去中心化交易所，用户通过流动性池进行代币兑换。根据检察官的说法，斯帕莱塔于 2021 年 4 月 8 日发动首次攻击，通过对 Uranium 的智能合约重复一系列交易，提取了远超其应得份额的收益，盗取约 140 万美元。
随后，他向项目团队施压，要求保留约 38.6 万美元作为“漏洞赏金”，以换取归还其余资金。检察官认为该赏金纯属幌子。两周后，他在写给另一人的信中写道：“几周前我进行了一次价值 150 万美元的加密货币盗窃……智能合约中存在漏洞，我加以利用了……反正加密货币都是假的互联网货币。”
第二次黑客攻击：5330 万美元的大劫案
仅在第一次攻击发生 20 天后，即 2021 年 4 月 28 日，他再次发动袭击。这次他利用合约在计算多个流动性池提款时的错误，盗取了约 5330 万美元。由于资金损失巨大，Uranium Finance 无法维持运营，最终关闭。
“代码即法律”辩护失败
斯帕莱塔的律师辩称，检方无法证明“是谁的手指在键盘上敲击”，指出他没有编写 Uranium 存在缺陷的代码，且 Tornado Cash 仅仅是一种隐私工具。陪审团驳回了这些论点。据报道，判决是在大约两小时的审议后作出的。宣判后，检察官请求对斯帕莱塔实施 GPS 监控。
通过 Tornado Cash 洗钱
检察官表示，斯帕莱塔通过一系列交易转移赃款，其中包括以太坊混币服务 Tornado Cash，旨在掩盖资金的来源和去向。媒体报道显示，在 2021 年 4 月至 2023 年 11 月期间，约有 2600 万美元的资金通过该混币器流转。
购物清单
使此案成为头条新闻的原因在于赃款的去向。根据司法部和庭审证据：
- 《万智牌》：一张黑莲花卡牌，价值约 50 万美元，加上 18 包未拆封的 Alpha 补充包，价值约 150 万美元。
- 宝可梦：一套完整的初版基础包，价值约 75 万美元；一盒未拆封的初版补充包，价值约 25.75 万美元。
- 古代历史：一枚埃德·马尔第纳里乌斯（Eid Mar denarius），即纪念尤利乌斯·凯撒遇刺的古罗马硬币，价值约 601,545 美元。
- 太空纪念品：一块莱特兄弟原始飞机的织物碎片，由尼尔·阿姆斯特朗携带登月，价值约 137,500 美元。
这是一堆大量的纸板和织物，而且巧合地呼应了近期加密货币读者注意到的一种趋势：2026 年，宝可梦卡牌的表现优于比特币，Coinbase 最近也宣布推出宝可梦卡包产品。
政府追回情况
调查人员依据法院授权的搜查令，从斯帕莱塔家中扣押了黑莲花卡牌、莱特兄弟的织物碎片以及一些硬币。2025 年 2 月，当局还扣押了价值约 3100 万美元（按当时市值计算）的 Uranium 黑客攻击所得加密货币。检察官呼吁任何认为自己受到 Uranium 黑客攻击影响的受害者联系国土安全调查局。
加密货币用户为何应关注此案
此案发生在一个去中心化金融（DeFi）安全性备受严峻考验的年份，数百亿美元在不同交易所和协议中被漏洞利用所窃取。它提醒人们注意三点：
- 漏洞利用是可起诉的罪行。尽管合约逻辑确实存在缺陷，“代码允许这样做”的论点在陪审团面前未能成立。
- “漏洞赏金”并非免死金牌。在拿走部分赃款后归还剩余部分，并不能为其开脱。
- 混币器无法抹去踪迹。资金虽然通过了 Tornado Cash，但调查人员仍将其追踪至其家中的资产以及被扣押的 3100 万美元加密货币。
对于 Uranium 的用户和团队而言，损害是永久性的：该交易所从未恢复元气。
后续进展
在我查阅的报道中，尚未公布斯帕莱塔的宣判日期。鉴于两项罪名均成立，他面临总共 30 年的潜在刑期，尽管实际判决通常较低。目前，此案作为一个警示故事，记录了 DeFi “黑客事件之后会发生什么”这一章节：代码在几分钟内被利用，但其后果历时五年多才得以显现。
