铀金融攻击：5,000万美元被盗，3,100万美元被扣押

导语

乔纳森·斯帕莱塔（Jonathan Spalletta），一名马里兰居民，因与2021年4月据称发生的一起针对去中心化金融协议铀金融（Uranium Finance）的5,000万美元攻击有关而被刑事起诉。根据 Coindesk 于2026年3月31日援引的公开报道和检方文件，美国当局于2026年3月31日扣押了约3,100万美元被盗加密资产——检方称该回收额约占指称收益的62%。检方称，此次攻击涉及对智能合约漏洞的重复利用以及随后通过混币器 Tornado Cash 进行洗钱，部分收益用于购买珍稀藏品。该案件突显了链上取证追踪、跨司法管辖区执法与 DeFi 原语持续存在的技术脆弱性之间的交汇。对于机构市场参与者而言，此事不仅在合规与对手方评估上带来即时问题，也提供了一个不寻常的高回收率范例。

背景

铀金融事件符合一种更广泛的模式：尤其是 2021 年，DeFi 协议常因智能合约漏洞而成为攻击目标。检方称，2021 年 4 月发生了两次不同的利用事件，合计产生约 5,000 万美元的非法所得；这些日期与金额来自 Coindesk 的报道及相关于 2026 年 3 月 31 日的提交文件。基于智能合约的金融在 2020–21 年经历了爆炸性增长：这一增长同时伴随了一波协议层面的攻击，范围从 2021 年 8 月的 Poly Network 被攻（约 6.1 亿美元，后大部分归还）到 2022 年 4 月的 Ronin 桥被攻（约 6.25 亿美元）。这些先例展示了当损失达到九位数时，DeFi 所吸引的规模与政治关注。

从监管角度看，铀金融案值得注意的一点是它涉及 Tornado Cash——该服务在 2022 年 8 月被美国财政部海外资产控制办公室（OFAC）制裁，理由是其助长洗钱和勒索软件支付。检方称被告通过 Tornado Cash 转移资金的指控，触及了既有的执法线索，并将制裁制度作为追踪与扣押资产的工具。案发时间线——所谓的盗窃发生于 2021 年 4 月，而指控与重大扣押发生于 2026 年 3 月——也强调了链上调查与资产追回行动通常需要多年的事实。

对于机构市场参与者而言，这一背景将技术风险（智能合约设计与审计）、合规风险（与受制裁服务例如混币器的交互）以及操作风险（托管设计与非托管代码失效时的后果）综合起来考虑。因此，该案位于法律、技术与市场考量的交汇点。

数据深度解析

公开记录中的关键硬数据点包括：5,000 万美元——检方称 2021 年 4 月从铀金融被取走的近似总额；3,100 万美元——美国当局于 2026 年 3 月 31 日扣押的近似数额；以及从所谓的攻击到扣押行动大约五年的时间差。这些数字暗示了约 62%（31/50）的回收率，显著高于许多此前公开的 DeFi 追回案例。该算术虽直观但带有说明性限定：5,000 万美元是指控中的金额，而 3,100 万美元是截至特定执法阶段据 Coindesk 2026-03-31 报道所称的被扣押数额。

检方公开陈述称该方案涉及在 2021 年 4 月“两次利用智能合约漏洞”。这一技术描述与常见的利用模式相符，即可组合性和无许可交易放大了单一漏洞的影响。从取证角度看，当局据称沿链上跳转追踪资金并进入混币服务；Tornado Cash（于 2022 年 8 月被制裁）的使用为美国当局主张司法管辖权并启动没收行动提供了法律途径。区块链分析公司与交易所日益在此类案件中配合，使得当私钥与受监管基础设施交汇时，能够实施有针对性的扣押。

相较之下，此次追回的速度和规模与许多先前案件不同。在若干大型桥和协议被攻事件中，追回金额在事件发生数月或数年后仍仅为总损失的一小部分。因此，铀金融事件成为量化执法效果以及混币服务在实际洗钱路径中的限制（至少在资金经链上流向受制裁实体或进入法币通道时）的重要数据点。

行业影响

对于 DeFi 协议及其支持者而言，铀金融案强化了进行严格代码审计、漏洞赏金计划和分层防护架构的商业必要性。评估 DeFi 敞口的机构配置者不仅会权衡技术失效的概率，还会考虑预期的资产追回率与法律救济，而此事件为该评估提供了一个具体的追回范例。该事件还加剧了对于去中心化服务与中心化中介交互方式的审视：最终触及受监管交易所或法币通道的资金，在被拦截或扣押方面面临更大风险。

监管者与合规官员会将此次扣押视为加强对混币服务监控的论据，同时也为推动更好地遵循“旅行规则”和对入金通道实施 KYC 提供正当理由。在加密调查中采用制裁指定（如 Tornado Cash）和传统资产没收途径的先例表明，监管当局将继续把既有法律工具应用于新的链上资金流动。对于托管方与托管服务提供者而言，该案件提高了异常活动检测和交易风险评分的重要性，以防止 se