美国司法部门近日正式公开起诉文件，指控马里兰州居民Jonathan Spalletta涉嫌在2021年4月两次攻击去中心化金融平台Uranium Finance，累计造成平台损失超过5400万美元。根据纽约南区联邦检察官办公室披露的信息，被告已于周一向执法部门自首，并面临计算机欺诈和洗钱等刑事指控，若罪名成立，最高可能被判30年监禁。
两次攻击发生在同一个月，平台最终停摆
Uranium Finance是部署在BNB Chain上的一个自动做市商协议分叉项目，基于Uniswap模型，于2021年牛市期间上线。然而，这一平台在上线后不久便接连遭遇攻击。检方称，第一次攻击发生在2021年4月8日，攻击者利用智能合约漏洞，提取了远超授权额度的加密资产，造成约140万美元损失。此后，平台曾与攻击者达成一项私下协议，除约38.6万美元外，其余资金被返还。
但仅仅数周之后，Uranium Finance再次遭受更严重的打击。根据起诉内容，第二次攻击发生在2021年4月28日，攻击者利用平台智能合约中与提款上限相关的错误，从26个流动性池中转走约5330万美元的加密资产，涉及比特币（BTC）、以太坊（ETH）以及平台原生代币U92。这起重大失窃事件最终导致平台因资金枯竭而关闭官网，受害者长期未能获得清晰交代。
检方：被盗资金被用于收藏品消费
美国检方进一步表示，部分被盗资金随后被用于购买收藏品，包括宝可梦卡牌、古罗马钱币，以及一块据称来自莱特兄弟原始飞机的布料。相关物品已在对Spalletta住所的搜查中被查获。执法机构还透露，早在去年2月，当局就已查扣与该案有关的约3100万美元加密货币，只是当时并未公开更多细节。
目前，Spalletta被控一项计算机欺诈罪和一项洗钱罪。其中，计算机欺诈最高可判10年监禁，洗钱罪最高可判20年监禁，两项合计面临最高30年刑期。案件已进入联邦司法程序，被告需在法庭上正式听取指控。
“加密货币不是法外之地”
纽约南区联邦检察官Jay Clayton在声明中强调，盗取加密交易平台资产，本质上仍然是盗窃行为。“加密货币并不特殊”这一表态，反映出美国执法机构正在持续强化对链上犯罪的打击力度。对监管和司法部门而言，无论资产形式是法币还是代币，只要造成真实受害者出现真实损失，就将面临现实中的刑事责任。
这一案件的象征意义也十分明确：尽管DeFi协议强调去中心化和无需许可，但一旦涉及恶意利用漏洞、非法转移资产及后续洗钱，执法机构仍会通过链上追踪、资产冻结与跨部门调查进行追责。随着区块链取证能力提升，链上匿名性并不意味着绝对安全，重大攻击行为正在越来越频繁地进入传统司法框架。
对DeFi市场的影响：安全审计与信任修复仍是核心
从市场层面看，Uranium Finance案再次揭示了DeFi协议在早期发展阶段面临的关键风险：智能合约漏洞、代码审计不足、权限与参数设计缺陷，都可能在短时间内引发灾难性后果。尤其是自动做市商、流动性池和提款限额等核心模块，一旦存在逻辑错误，攻击者往往能够迅速放大损失规模。
对于投资者而言，此类案件强化了一个长期共识，即高收益往往伴随高风险，参与新上线或分叉类DeFi项目时，需要更加关注协议审计、团队响应能力以及历史安全记录。对于行业而言，案件也可能促使更多项目在主网上线前投入更多资源进行代码审查、漏洞赏金和风控测试，以减少系统性安全事件对生态信心的冲击。
值得注意的是，2021年通过黑客攻击和漏洞利用被盗的加密资产总额据估计超过26亿美元。其中，规模最大的案例之一是跨链DeFi协议Poly Network遭遇的6.1亿美元攻击，不过相关资金后来被归还，项目方甚至将其描述为“白帽”行为。相比之下，Uranium Finance事件则成为一个更典型的司法追责案例，显示出对于未归还资产、并伴随洗钱指控的攻击行为，法律风险正在显著上升。
整体来看，此案不仅是一起针对历史DeFi黑客事件的刑事起诉，更是加密行业迈向成熟过程中“技术风险”与“法律责任”交汇的缩影。随着监管、司法和链上取证工具不断进化，未来针对重大协议攻击者的追责可能将更快、更精准，也将进一步重塑市场对DeFi安全边界的认知。