2021年4月,去中心化交易所Uranium Finance在一个下午内几乎损失了全部储备。这个建在BNB Chain上的协议从此关停,数千名用户的资金无法取回,案件一度悬而未决超过五年。本周三,纽约一个陪审团给出了答案:网络安全顾问乔纳森·斯帕莱塔(Jonathan Spalletta)被认定两次攻击均为其本人所为。
盗窃分两步完成。斯帕莱塔先转走140万美元,试探合约中的漏洞是否会被发现;几小时后确认无人察觉,便把剩余的5330万美元也全部转走,交易所的流动性就此归零。根源是合约迁移时引入的重新基准计算错误——一个指数写错,导致资金池余额计算整体失真。
真正让他落网的不是入侵本身,而是之后的消费。调查人员在他家中搜出价值约300万美元的宝可梦和万智牌稀有卡牌、一枚60万美元购入的古罗马钱币,以及一件与莱特兄弟有关、价值13.7万美元的藏品。正是通过拍卖行和藏品经销商追踪这些交易,调查人员才最终把钱包地址与他的真实身份对上号。
陪审团仅用两个小时就做出裁决。斯帕莱塔最高面临20年监禁,量刑将在2月16日公布。对DeFi行业而言,这起案件的意义不在金额本身——超过5000万美元的黑客事件并不少见——而在于它证明:即使过去五年,区块链取证依然能把一起悬案变成一份正式的有罪判决,而不是又一笔不了了之的损失。
