2026年10月7日，曼哈顿联邦法院的一个陪审团裁定，一名来自马里兰州的36岁安全顾问犯有计算机欺诈和洗钱罪。检方指控，该被告于2021年通过两次攻击，从去中心化交易所Uranium Finance中盗取了约5330万美元。
被告的辩护律师辩称，他只是调用了智能合约中公开可用的函数，伪造了任何凭证，也没有部署恶意代码。然而，陪审团在不到两个小时的审议后，驳回了这一辩护理由。
对于德国的持有者而言，这不仅仅是一则关于其投资组合的新闻，更是对DeFi（去中心化金融）运作基础的一次重新定义。将代币存入流动性池，意味着离开了由监管机构制定规则的空间，进入了仅由程序代码决定 payouts 的领域。在此之前的周三之前，利用代码漏洞是犯罪还是仅仅是规则内的聪明操作，一直是一个悬而未决的问题。现在，美国法院依据美国法律给出了答案，且这一答案的影响力远超本案本身。
流动性池是一种智能合约，用户向其中存入两种代币以便他人进行兑换；作为回报，存款人获得交易费用的一部分。Uranium Finance在BNB Chain（BNB背后的网络）上运行此类流动性池，其代码源自知名模板。
成对合约（Pair Contract）负责保存特定代币对的储备金，并在每次交换时重新计算可提取的金额。根据2021年的分析，Uranium Finance的该重算机制存在一百倍的误差：合约认为自己的持仓是其实际持仓的一百倍。任何知晓此漏洞的人都可以投入极少量的资金，并提取出极大的金额。
这一缺陷是在迁移到新合约版本期间引入的。项目团队此前曾要求用户将存款转移到新版本中，而攻击恰好发生在迁移过程中。第一次打击发生在2021年4月8日，通过一系列调用奖励函数，盗取了约140万美元。第二次攻击发生在2021年4月28日，同时针对26个流动性池发动攻击，迫使协议关闭。
不同报道中的金额有所差异，不应被模糊处理。检方引用第二次攻击金额为约5330万美元。行业出版物将两次攻击相加，得出5470万美元至略低于5500万美元的数字。一个2021年的事件数据库将损失定为5720万美元。因此，5330万美元至5720万美元的范围是更为诚实的数据。
攻击发生前的情况引人注目：团队表示他们怀疑可能存在关键缺陷，但未能发现它。多次代码审查均未将其标记为关键问题。
“代码即法律”的理念认为，在开放协议中，只有程序代码允许的行为才适用，没有其他规则可以被打破。按照这种解读，攻击者只是做了合约允许的事情，损失应归咎于存款人的设计错误。
在法庭上，这成为了“没有欺骗，也没有入侵，因为使用的每个功能都是公开的，任何人都可以调用”的论点。陪审员并未采纳这一观点。经过两个多小时的审议，对两项指控均作出有罪判决，显示出他们认为几乎没有争议之处。审判报道明确指出，这是对该辩护路线的拒绝。
判决的意义超出了本案范围。它区分了在DeFi辩论中经常混为一谈的两件事：交易在技术上是否可行，以及是否在道德或法律上被允许。过去，这两者往往被等同起来，理由是缺乏运营商的协议也缺乏家规。但现在，陪审团驳斥了这一论点。
被告被判定犯有两项起诉书中的罪名。第一项是计算机欺诈，涉及两次攻击行为本身。第二项是洗钱，涉及资金随后的处置情况。
检方指出，计算机欺诈的最高法定刑罚为十年，洗钱为二十年。办公室本身强调，这些上限由立法机构设定，实际量刑由法院单独决定。判决涵盖的是定罪，而非惩罚。
掩饰行为的最高刑期高于行为本身，乍看之下似乎不合理，但原因成立：计算机欺诈描述的是单次访问，而洗钱是一系列跨越数年的行为。将被盗代币通过混合器发送，然后转换为实物资产，意味着你自己一步步构建这条链条。
混合器是一种服务，它将许多用户的存款混合，稍后支付出去，使得转账的起源和目的地之间的链接无法在区块链上追踪。Tornado Cash是以太坊上最著名的此类服务。根据起诉书，部分收益通过了它。
随后，加密货币变成了你可以持有的东西。检方提到购买了一张价值50万美元的黑莲花（Black Lotus）交易卡牌和一套价值601,545美元的古代罗马银币。这一步骤对调查人员来说是最受欢迎的：卡牌有卖家、发票、运输路线，通常还有拍卖目录。混合器模糊了链上的踪迹；而链下的购买行为再次暴露了线索。
教训恰恰在于此，且超越了单一案例。混合器的匿名性在资金离开加密世界的那一刻结束。金额越大，越难不显眼地花费，也就越确定会留下带有姓名的记录。
2025年2月24日，当局扣押了价值约3100万美元的加密资产（按当日估值）。与5330万至5720万美元的损失范围相比，大约一半的资金回到了国家掌控之中。然而，被扣押的资金是否会最终归还给存款人是另一回事：资金首先进入法律程序，任何向受害者的分配都需要单独申请、提供存款证据，并耗费时间。
Uranium Finance在第二次攻击后停止了运营。一个废弃的协议没有法务部门、没有客户服务，也没有资产负债表来支付赔偿。任何在那里存款的人都独自承受了五年的等待，今天拿着有罪判决，却拿不到付款。
问题的规模正在扩大。我们的季度数据分析显示，仅三个月内，加密货币黑客攻击造成的损失就达12.6亿美元，创下2026年的最高水平。案发五年后的判决对此计算结果改变甚微。
MiCA是欧盟的一项法规，要求加密货币服务提供商获得许可并接受监管。它针对的是有交易对手的公司的，而不是代码。法律评论对真正DeFi协议的豁免权描述得较为狭窄：只有当提供者在技术上和治理上都是去中心化的，完全通过智能合约运行，且没有任何法律实体作为交易对手时，才适用豁免。如果创始人保留干预权或收取费用，在某些情况下仍可能产生需要许可的运营商地位。
在实践中：在持牌交易所，你有一个拥有注册地点、监管机构、投诉渠道和隔离客户资金义务的合同伙伴。在流动性池中，你只有一个合约。任何人想要并排持有两者，都会在我们的受监管加密货币交易所比较中找到持牌机构；池子那边不受此约束，因为它不属于任何人。
德国的BaFin公开警告那些以DeFi质押形式出现的无证发行物。相比之下，真正去中心化协议中的代码缺陷不属于任何权威机构可以修复的范畴。没有人可以暂停交易、冻结账户或逆转付款。
智能合约审计是由第三方对合约代码进行的付费审查，旨在资金流入之前发现错误和攻击路线。根据Uranium Finance后来的事后分析，多次审查均未将决定性缺陷标记为关键问题。
但这并不意味着审计毫无价值，只是需要正确看待。审计针对的是特定日期特定版本的代码。此后每一次迁移在未再次审查之前都是未经审核的，而在Uranium Finance，缺陷正是通过这样的迁移进入系统的。因此，经过审计的代码只是一个快照，并不能保证你明天资金所在的版本也是安全的。
如何识别可靠的审计归结为两个问题：审查报告是否全文公开且注明日期？它是否与你当前资金所在的合约地址相关？如果缺少其中任何一个，审计覆盖的就不是你的投资。
定罪是根据美国法律作出的，美国陪审团的裁决对德国法院没有约束力。根据已发布的法律评论现状，德国最高法院尚未就利用智能合约漏洞是否构成刑事犯罪作出裁决。
律师事务所的法律评论在德国以不同于美国起诉书的方式框定这一问题。据此，纯粹的编程错误本身并非犯罪行为；只有当加入欺骗成分或干扰他人数据时，才变得可罚，此时会引用刑法第303a条的数据篡改罪。在所有变体中，都必须证明意图，而这在自动执行的合约中被认为是很困难的。这种框架来自顾问而非法院，应相应阅读。
因此，在德国遭受漏洞利用受害者面临着一个令人不安的发现：刑事责任尚不确定，作案者往往不明，且协议可能已不存在。报警仍然值得，因为它将行为记录下来，并可能成为后期分配被扣押资金的基础。快速获赔的可能性微乎其微。
漏洞利用造成的损失不是销售，是否可以用于税务抵扣取决于个案和文档。在这里，存款的记录、时间和大小比法律问题更重要。任何没有完整记录自己资金流动的人，可以在加密货币税务软件和投资组合跟踪器比较中找到生成确切证据的程序。
交易对手风险是指持有你资产的人无法归还它们的风险。在流动性池中，你不持有硬币，而是对合约的请求权，而这个请求权的可靠性完全取决于内部的算术逻辑。在Uranium Finance，算术逻辑出现了一百倍的误差，因此在任何人反应之前，请求权就已变得毫无价值。
这种机制产生了一种清晰的持仓划分，与市场观点无关。无论意在长期持有，都应放在你自己的托管中，中间没有第三方合约或第三方资产负债表。管理这些设备的设备及其价格在硬件钱包比较中有详细说明。在池中有效的任何东西都是一种承担全损风险的质押，无论宣传的收益看起来有多高。
第二个后果涉及授权。一旦授予合约无限访问代币权限，即使你早已撤回存款，这扇门依然敞开。定期撤销此类授权只需几分钟，并能限制合约日后失败造成的损害。
宣判定于2027年2月16日。在此之前，罪行已确立，但刑期长度尚未确定，引用的十年和二十年是法定上限，而非预测。审判报道将该案置于美国一系列诉讼之中，在这些诉讼中，法院越来越倾向于将加密货币盗窃视为传统财产犯罪。
对于欧洲市场，下一个重要日期是不同的。只要欧盟规则将去中心化协议排除在外，对流动性池的审查责任就完全转移到存款人身上。曼哈顿的判决对此没有任何改变，而这正是本周三的实际新闻所在。
有罪判决回答了五年来悬而未决的问题，并且是针对攻击者的。对于存款人的立场而言，变化甚微：没有运营商的池子在出现问题时无人负责，而在法院甚至取得管辖权之前，钱就已经消失了。
将自有持仓与质押分开：你打算持有的资产应放在你自己的托管中，而不是在你未曾阅读过的合约中。相关设备和价格在硬件钱包比较中有详细列出。明确谁是你的交易对手：存在持牌交易对手的地方，就有监管和投诉渠道；在流动性池中，这两者皆无。持牌机构列在受监管加密货币交易所的比较中。立即记录每一笔存款：如果没有存款时间和大小的证据，既无法执行被扣押资金的分配，也无法对损失进行税务处理。加密货币税务软件比较列出了合适的程序。声明：文章不代表币圈网立场和观点，不构成本站任何投资建议。内容仅供参考！
免责声明:本站所有内容仅供用户学习和研究,不构成任何投资建议.不对任何信息而导致的任何损失负责.谨慎使用相关数据和内容,并自行承担所带来的一切风险.