Uranium Finance 遭窃资金流向曝光：黑客竟用赃款购买宝可梦卡与登月织物
一份美国起诉书指控称，两起针对 Uranium Finance 的加密货币攻击事件中，被盗资金在流向 Tornado Cash 后，被用于购买宝可梦卡（Pokemon cards）及其他各类收藏品。针对 Jonathan Spalletta 的指控目前仍为指控，并非法院的最终定罪裁决。
美国司法部于 2026 年 3 月 30 日发布的起诉公告中，详细描述了涉嫌的黑客攻击行为、洗钱路径以及随后的购买行为。
Uranium 曾是一家去中心化加密货币交易所，允许用户通过流动性池存储和交换资产。检察官指控 Spalletta 在 2021 年 4 月两次利用其智能合约漏洞，将提现和奖励逻辑中的缺陷转化为交易所及其用户的巨额损失。
A Maryland cybersecurity consultant who allegedly stole nearly $55 million in hacked cryptocurrency and spent some of it on rare Pokemon and Magic: The Gathering cards went on trial in New York https://t.co/hf26ohZRJP
— Bloomberg (@business) September 29, 2026
据起诉书显示，第一起涉嫌攻击发生在 4 月 8 日。起诉书称，一系列欺骗性的智能合约交易使 Spalletta 能够提取超过其应得数额的奖励代币，从而获取了价值约 140 万美元的加密货币。此外，他还被指控重复这些交易，直到抽干了池中几乎所有的奖励代币。
检察官指控，4 月 28 日，他再次利用了一个影响 26 个 Uranium 流动性池提现功能的独立错误，导致价值约 5330 万美元的加密货币被盗。由于资金告罄，该交易所在第二次攻击后被迫关闭。这些数据是司法部对两起独立攻击的描述；公告并未在描述“涉案金额超过 5000 万美元”之外，给出一个确定的合并总额。
此案的进展已远超最初的漏洞攻击阶段。司法部表示，Spalletta 在 2026 年 3 月 30 日起诉书公开后已投案自首，并预定在美联邦治安法官 Ona T. Wang 面前受审。另外，执法部门已根据司法授权的扣押令，在 2025 年 2 月 24 日扣押了价值约 3100 万美元的加密货币。
2021 年的涉嫌攻击与后来的资产扣押之间存在较长的时间跨度，这在加密执法领域屡见不鲜：即使地址背后的身份尚未立即确定，交易记录在区块链上依然清晰可见。
从加密漏洞攻击到宝可梦卡
起诉书描述了一条从合约漏洞利用到资金消费的完整路径，而不仅仅是钱包中的大额余额。检察官指控，在获取加密货币后，Spalletta 通过跨钱包和跨链的一系列复杂交易转移资金，其中涉及使用 Tornado Cash。不过，公告并未提供完整的逐笔交易追踪记录。
涉嫌的购买行为使此案显得异常具体。司法部称，这些收益资助了一张价值约 50 万美元的《万智牌》（Magic: The Gathering）“黑莲花”卡，以及价值约 151 万美元的 18 盒密封 Alpha 补充包。清单中还包括一盒价值约 257,500 美元的密封第一版宝可梦补充箱，以及一套价值约 75 万美元的完整第一版宝可梦基础合集。
涉嫌的加密货币支出并未止步于宝可梦卡。起诉书还确认了一件来自莱特兄弟原始飞机的织物残片（后来由宇航员尼尔·阿姆斯特朗带上月球），购买价格约为 137,500 美元；以及一枚纪念凯撒大帝遇刺的 Eid Mar Denarius 银币，购买价格约为 601,545 美元。
公告提到，根据司法授权的搜查令从 Spalletta 住所没收的物品中，发现了与“黑莲花”卡、飞机织物及某些硬币相关的照片。
这些细节构成了政府的指控，而非对谁支付了每一项物品或哪个钱包资助了每次购买的已证实记录。司法部的公告并未声明有约 2600 万美元通过了 Tornado Cash，这一数字出现在补充报道中，不应被视为起诉书公告本身确定的事实。
追踪路径对调查人员至关重要，因为将资产转化为收藏品会在区块链之外产生记录和交易对手。链上转移可能识别出移动模式，而购买记录、扣押财产和其他证据则可能有助于将该模式与特定个人联系起来。证据效力在于整个证据链的结合，而非单一的转账或高价值物品。
这使得该案件的意义超越了 Uranium Finance 本身。加密资产可以在地址间快速移动，但 DeFi 黑客攻击的后果会通过交易所倒闭、执法行动和追讨努力持续多年。追踪其他交易所被盗资产也面临同样的问题：追踪资金移动并不等同于证明所有权或意图。
