用寶可夢牌卡洗錢5000萬美元，駭客五年後落網

一張寶可夢卡牌，要價100萬美元。一枚紀念凱撒遇刺的古羅馬硬幣，售價60萬美元。這些看似不相干的收藏品，最終成為一名DeFi駭客無法抹去的犯罪證據。

2026年3月31日，美國司法部宣布，馬里蘭州洛克維爾市居民喬納森·斯帕萊塔（Jonathan Spalletta，36歲）遭到起訴，罪名是2021年駭入去中心化交易所Uranium Finance，盜取逾5000萬美元（約新台幣16億元）的加密資產。這是這起沉寂五年的DeFi大案首次有具名被告出現在公眾視野中。

事件經過：兩次利用同一漏洞，平台被迫關閉

根據起訴書，斯帕萊塔於2021年4月8日首次利用Uranium Finance獎勵機制中的智能合約漏洞，盜取約140萬美元。隨後，他主動聯繫開發團隊，以「漏洞回報獎勵」為由，談判保留其中約38萬6000美元——檢察官將此形容為「虛假的和解協議」。

然而，斯帕萊塔並未就此收手。同月稍後，他再度利用相同漏洞，清空了與BNB、BUSD等資產相關的主要流動性池，導致Uranium Finance無力繼續運營，被迫永久關閉。他事後在給同夥的訊息中寫道：「我幹了一場加密搶劫……加密貨幣反正都是假的網路錢。」

盜取的資金隨後透過加密混幣器Tornado Cash進行複雜的鏈上交易加以洗白，最終流向現實世界的高價收藏品市場。起訴書列出的購買清單包括：一張Magic: The Gathering「黑蓮花」牌（約50萬美元）、18包密封Alpha版補充包（約150萬美元）、初版寶可夢套牌（逾100萬美元）、以及一枚「三月十五日」古羅馬紀念幣（約60萬美元）。

2025年2月，當局已先行扣押約3100萬美元的相關加密資產。斯帕萊塔於曼哈頓自首，預計將出庭受審。

為何現在？區塊鏈追蹤技術的成熟

廣告

廣告合作

[email protected]

廣告

這起案件的核心啟示，不在於駭客的貪婪，而在於「匿名」幻覺的終結。

區塊鏈雖以去中心化著稱，但所有交易紀錄都永久公開存儲在鏈上。Tornado Cash等混幣工具雖能模糊資金流向，卻無法徹底切斷鏈上痕跡。近年來，Chainalysis、TRM Labs等區塊鏈分析公司的技術日益精進，執法機構追蹤加密資金的能力大幅提升。斯帕萊塔案從犯罪到起訴歷時五年，恰恰說明這類調查需要時間——但結果往往難逃追究。

更值得關注的是，斯帕萊塔最終「露出馬腳」的，並非鏈上的技術失誤，而是在現實世界購買高價收藏品時留下的金融紀錄。高價藝術品、稀有收藏品的交易，通常需要通過金融機構完成，而這些機構依法須執行反洗錢（AML）與客戶身份驗證（KYC）程序。數位世界的匿名性，被現實世界的消費行為所瓦解。

多方視角：誰是贏家，誰是輸家？

對美國執法機構而言，此案是一次示範：DeFi領域的犯罪不存在「時效保護」，鏈上證據的永久性反而對執法有利。美國司法部與紐約南區聯邦檢察官辦公室再次展示了跨越多年追查加密犯罪的能力。

對Uranium Finance的受害者而言，正義來得遲了五年。更現實的問題是：被扣押的3100萬美元能否全數返還？與原始損失5000萬美元之間的差額，目前仍下落不明。

對整個DeFi生態而言，此案再次凸顯智能合約審計的重要性。Uranium Finance的漏洞在被利用兩次後才被修補，這種「亡羊補牢」的安全文化，至今仍是去中心化金融的痛點。

對華語市場的投資者而言，則有一個更直接的問題：台灣、香港、新加坡等地的加密貨幣監管框架，是否足以應對這類跨境DeFi犯罪？相較於美國司法部的長臂管轄，亞洲各地執法機構的協作機制仍在建構中。中國大陸已全面禁止加密交易，但境外華人社群參與DeFi的比例依然可觀，相關法律風險不容忽視。

此外，Tornado Cash的角色值得特別關注。美國財政部於2022年將其列入制裁名單，使用該工具本身即構成法律風險。此案將進一步強化各國對加密混幣工具的監管壓力，對依賴隱私功能的用戶而言，這是一個清晰的警示信號。