美国起诉涉及$53 百万美元Uranium Finance漏洞的黑客

简要概述

• 美国当局已指控 Jonathan Spalletta，指其利用 Uranium Finance，致使该公司因其行为而崩溃，并从中掏空数千万美元。
• 检察官称，他据称滥用了智能合约漏洞，随后通过混币器转移资金，并购买高价值藏品。
• 与该案相关的约 31 million 加密货币在去年被扣押。

一名曾把数字资产称为“假互联网货币”的涉嫌加密黑客，如今已被美国方面羁押，因涉嫌实施一笔 53 million 美元的利用行为而被指控，该行为帮助导致一个去中心化交易所倒下；一名专家表示，此案显示法院正在更严肃地审视，智能合约漏洞利用是否能够被视为合法。

周一，美国当局解封了一份起诉书，指控 Jonathan Spalletta（亦名 “Cthulhon” 与 “Jspalletta”）在与 Uranium Finance（一个去中心化交易所）的两起 2021 年攻击有关的情况下，涉嫌实施计算机欺诈与洗钱。

Spalletta 在周一自愿向当局投案以回应指控；如今，他在计算机欺诈这一项指控上面临最高 10 年刑期，在洗钱指控上面临最高 20 年刑期。



“从加密货币交易所偷窃就是偷窃——‘加密货币不一样’这一说法并不能改变这一点。”美国司法部长 Jay Clayton 在一份声明中表示。

该案属于一项更广泛的举措，旨在应对那些将技术漏洞与资金滥用相结合的 DeFi 漏洞利用。

“‘代码即法律’的理念正在越来越多地在法庭上接受检验，”TRM Labs 亚太地区政策与战略合作负责人 Angela Ang 告诉 Decrypt。

她补充道：“利用智能合约漏洞在技术上也许是可能的，但这并不意味着法院会将其视为在法律上允许——尤其是在与洗钱和隐匿行为相结合时。”

起诉书称，Spalletta 在 2021 年 4 月 8 日实施了第一次攻击；他利用 Uranium 智能合约中的一个奖励追踪漏洞，反复抽干一个流动性池中的约 1.4 million 美元资金。

大约两周后，他写信给另一名个人：“我干了一起 1.5MM 的加密货币劫掠……智能合约里有个 bug，我利用了它……不管怎样，加密货币全都是假互联网货币。”

当局表示，他后来在与该平台协商后归还了大部分被盗资金，但仍保留了约 386,000 美元，检方所描述的这是一个虚假的“漏洞赏金（bug bounty）”安排。

2021 年 4 月 28 日，他据称在 26 个流动性池中又利用了另一处缺陷，获得了约 53.3 million 的加密货币，并使 Uranium Finance 无法继续运营。

在 2021 年 4 月至 2023 年 11 月期间，Spalletta 据称通过 Tornado Cash 导流了约 26 million 美元，将资金在多个区块链和钱包之间转移，以掩盖其来源。

链上追踪者 ZachXBT 先前在 2023 年 12 月的一份报告中追踪到了洗钱路径，指出被盗 ETH 是如何从混币器中被提取，并通过经纪商路由，以购买高价值藏品的。

这些藏品包括稀有的 Magic 和 Pokémon 卡牌、一枚朱利叶斯·凯撒时代的硬币，以及一件莱特兄弟的文物；据起诉书称，该文物后来被尼尔·阿姆斯特朗带上了月球。

去年 2 月，执法机构还扣押了价值约 31 million 美元的加密货币；当局称这些资金与被指控的计划有关。

当被问及更严格的审计或保险是否能够防止该平台崩溃时，Ang 表示：“更强的审计与保险机制可以降低漏洞利用发生的可能性及其影响，但它们并非灵丹妙药。”

她补充道：“组织需要‘多层防御’，其中包括‘定期安全审计、安全编码实践、多重签名控制，以及强大的安全文化，而不是依赖任何单一的防护措施’。”

每日快报通讯

从每天开始，就用此刻的头条新闻——再加上原创专栏、播客、视频以及更多内容。

你的邮箱

领取！

领取！