Undang-undang Kripto/Tahap VI · Kelakuan pasaran/6.2 Orang dalam dan rug pull/Pelajaran 6

Hack dan eksploitasi sebagai pencurian

Mengapa alasan “kod tersebut membenarkannya” tidak menghalang pendakwa raya AS daripada mendakwa eksploitasi kontrak pintar sebagai penipuan komputer, penipuan kawat dan pencucian wang, serta di mana mahkamah telah menentang tindakan tersebut.

Pendidikan, bukan nasihat undang-undang, cukai atau pelaburan. Undang-undang kripto berbeza antara negara dan negeri, dan kerap berubah. Semak peraturan semasa di tempat anda tinggal dengan peguam atau penasihat cukai yang berkelayakan sebelum anda bertindak.

Laluan paling ringan

Laluan paling murah, paling rendah cukai, paling mudah dan paling peribadi yang dibenarkan undang-undang, bermula dengan yang terbaik. Setiap langkah menyatakan peraturan yang menjadi asasnya dan syarat yang mengekalkannya sah.

Pembangun: perlindungan undang-undang yang paling murah ialah pelan insiden yang ditulis sebelum pelancaran, yang menyatakan siapa yang menyimpan log dan hash, merekodkan alamat penyerang, serta menghubungi IC3, penerbit stablecoin dan platform pertukaran (exchange). Melaporkan tidak menelan kos; kelewatan menelan peluang beku.
Protokol mangsa boleh membawa tuntutan sivil di bawah 18 U.S.C. §1030(g) untuk ganti rugi pampasan dan injunksi, bersebelahan dengan sebarang kes jenayah. Perangkap: ia mesti difailkan dalam tempoh 2 tahun dari perbuatan tersebut atau dari penemuan kerosakan itu.
Tiada laluan sah yang murah untuk menyimpan dana yang dieksploitasi: 'kod membolehkannya' tidak menghalang hukuman tiga tahun dan rampasan sekitar $12.3 juta bagi Ahmed pada 2024. Alternatif sah ialah melaporkan kelemahan itu di bawah penebusan bug (bug bounty) yang diterbitkan.
Jangan sekali-kali menerima atau memindahkan dana yang ditelusuri kepada eksploitasi atau pihak yang disanksi, seperti mereka yang FBI kaitkan dengan curi Bybit pada Februari 2025. Saringan terhadap senarai sanksi percuma OFAC tidak menelan kos; denda sivil akibat sanksi adalah secara amnya liabiliti ketat (strict liability).

Bahan18 U.S.C. §1030, Akta Penipuan dan Penggodaman Komputer (di law.cornell.edu)Pengumuman Peguam A.S. pada bulan April 2024 mengenai hukuman bagi Shakeeb Ahmed dan pengumuman pada bulan Februari 2025 mengenai tuduhan terhadap MedjedovicIklan perkhidmatan awam FBI bertarikh 26 Februari 2025 mengenai kecurian di BybitPelajaran 6.1.4 (front-running dan MEV) dan 6.1.5 (kes Mango Markets)

Ingin tahu

Jika kontrak pintar membenarkan saya menarik balik dana tersebut, bagaimanakah tindakan itu boleh dianggap sebagai pencurian?
Undang-undang persekutuan manakah yang digunakan oleh pendakwa raya terhadap penipu DeFi?
Apa yang boleh dilakukan oleh protokol atau penggunanya selepas berlaku eksploitasi selain memanggil polis?

Teroka

Sesetengah pengeksploitasi berpendapat bahawa kontrak pintar merupakan keseluruhan perjanjian, jadi apa sahaja yang dibenarkan oleh kodnya adalah dibolehkan. Pendakwa raya di AS menolak pandangan tersebut. Mereka mendakwa eksploitasi di bawah Akta Penipuan dan Penggodaman Komputer, 18 U.S.C. §1030, yang antara lain menghukum sesiapa yang sengaja mengakses komputer yang dilindungi tanpa kebenaran atau melampaui akses yang dibenarkan dengan niat untuk menipu; di bawah undang-undang penipuan kawat, 18 U.S.C. §1343, di mana eksploitasi tersebut bergantung pada tipu daya seperti harga palsu atau input yang dimanipulasi; dan di bawah undang-undang pencucian wang apabila hasil daripada tindakan tersebut disalurkan, dicampur atau ditukar untuk menyembunyikannya. Mahkamah masih sedang menguji di mana batasan-batasan ini terletak.
Hukuman pertama kerana menggodam kontrak pintar dikenakan di Daerah Selatan New York. Shakeeb Ahmed, seorang jurutera keselamatan kanan yang senarai karyanya menyenaraikan kejuruteraan balik kontrak pintar dan audit blockchain, menggunakan data harga palsu pada Julai 2022 untuk menghasilkan caj yang berlebihan sebanyak kira-kira $9 juta di sebuah bursa terdesentralisasi. Beberapa minggu kemudian dia mengeksploitasi Nirvana Finance, mengambil kira-kira $3.6 juta, iaitu hampir semua dana syarikat tersebut; Nirvana ditutup tidak lama selepas itu. Dia mencuci wang hasil kecurian tersebut melalui bridge, Monero dan mixer. Pada Disember 2023, dia mengaku bersalah atas satu pertuduhan penipuan komputer.
Pada 12 April 2024, Hakim Victor Marrero menjatuhkan hukuman tiga tahun penjara dan tiga tahun pembebasan di bawah pengawasan terhadap Ahmed, memerintahkan rampasan kira-kira $12.3 juta serta sejumlah besar mata wang kripto, dan memerintahkan pengembalian lebih daripada $5 juta kepada kedua-dua mangsa. Pada Februari 2025, pendakwa raya di Daerah Timur New York membuka semula tuduhan (unseal) terhadap Andean Medjedovic, seorang warga Kanada, atas kesalahan penipuan kawat, penggodaman komputer, percubaan pemerasan dan pencucian wang. Mereka mendakwa bahawa dia menggunakan dana pinjaman untuk mencipta harga buatan dan menguras kira-kira $65 juta daripada pool KyberSwap dan Indexed Finance. Dia masih bebas ketika didakwa.
Tidak semua pendakwaan berjaya. Sabitan penipuan dan manipulasi yang dikenakan ke atas Avraham Eisenberg berkaitan Mango Markets telah dibatalkan oleh hakim perbicaraan pada Mei 2025, sebahagiannya kerana bukti tidak menunjukkan kenyataan palsu; rayuan pihak kerajaan dibincangkan dalam pelajaran 6.1.5. Kes Anton dan James Peraire-Bueno, yang dituduh mengambil kira-kira $25 juta dalam masa 12 saat melalui proses pembinaan blok Ethereum, berakhir dengan mistrial pada November 2025 (pelajaran 6.1.4). Bagi para pembina, mesejnya adalah bercampur-baur: eksploitasi sering didakwa, tetapi sejauh mana undang-undang penipuan meliputi aktiviti perdagangan “memanipulasi” terhadap kod masih dalam proses ditentukan.
Undang-undang jenayah hanyalah satu jalur sahaja. Akta Penipuan dan Penggodaman Komputer membenarkan seseorang yang mengalami kerosakan atau kerugian yang layak untuk mengemukakan tindakan sivil bagi mendapatkan ganti rugi dan injunksi, 18 U.S.C. §1030(g). Penerbit stablecoin dan bursa boleh membekukan aset yang berada di bawah kawalan mereka. Aktor negara pula menimbulkan isu sekatan: pada 26 Februari 2025, FBI mengaitkan kecurian kira-kira $1.5 bilion daripada bursa Bybit pada atau sekitar 21 Februari 2025 dengan Korea Utara, yang digelar ‘TraderTraitor’, dan mendesak perkhidmatan untuk menyekat alamat-alamat yang berkaitan. Sesiapa sahaja yang mengendalikan dana sedemikian berisiko dikenakan sekatan (pelajaran 5.2.5).
Rancangan tindak balas praktikal untuk para pembina wajar ditulis sebelum pelancaran. Rancangan tersebut harus menyatakan siapa yang akan menyimpan log dan hash transaksi, siapa yang akan merekod alamat penyerang, serta siapa yang akan menghubungi IC3 FBI, penerbit stablecoin yang terjejas dan bursa-bursa utama. Ia juga harus menentukan siapa yang boleh berhubung dengan penyerang dan apa yang boleh ditawarkan (pelajaran 6.2.7). Jangan janjikan sesiapa kekebalan daripada pendakwaan; protokol peribadi tidak dapat memberikannya. Pengguna harus tahu bahawa menerima atau memindahkan dana curi dengan sengaja boleh didakwa sebagai pencucian wang, tanpa mengira apa yang dikatakan oleh pengeksploitasi tentang kod tersebut.

Fakta utama

18 U.S.C. §1030(a)(4) menghukum tindakan mengakses komputer yang dilindungi tanpa kebenaran dengan sengaja, atau melebihi had akses yang dibenarkan, dengan niat untuk menipu dan seterusnya memperoleh sesuatu yang berharga.
Shakeeb Ahmed mengaku bersalah atas satu pertuduhan penipuan komputer pada bulan Disember 2023 dalam kes yang digelar oleh pihak pendakwa raya sebagai sabitan pertama bagi penggodaman kontrak pintar.
Pada 12 April 2024, Ahmed dijatuhi hukuman penjara tiga tahun dan diarahkan untuk menyerahkan kira-kira $12.3 juta serta membayar lebih daripada $5 juta sebagai ganti rugi.
Pada Februari 2025, pendakwa raya di Daerah Timur New York mendakwa Andean Medjedovic atas kesalahan penipuan kawat, penggodaman komputer, percubaan pemerasan dan pencucian wang berkaitan kira-kira $65 juta yang diambil daripada KyberSwap dan Indexed Finance.
18 U.S.C. §1030(g) membenarkan seseorang yang mengalami kerosakan atau kerugian yang layak akibat pelanggaran untuk menuntut ganti rugi dan kelegaan injunksi (injunctive relief).
Pada 26 Februari 2025, FBI mengaitkan kecurian kira-kira $1.5 bilion daripada bursa Bybit dengan pelaku dari Korea Utara yang mereka sebut sebagai ‘TraderTraitor’.

Latihan sembilan, enam, tiga, satu

9KumpulSenaraikan sehingga 9 perkara yang mungkin dikatakan oleh seseorang untuk membenarkan pengambilan dana melalui bug kontrak pintar (beberapa senarai lebih pendek), seperti ‘kodnya membenarkannya’, ‘itu merupakan aktiviti arbitraj’ atau ‘saya merancang untuk mengembalikannya’.

6KelompokkanSusunnya ke dalam 6 kategori: hujah berkaitan kelulusan, berkaitan penipuan, berkaitan niat untuk mengembalikan, berkaitan keadilan pasaran, berkaitan siapa mangsanya, dan hujah yang hanya merupakan alasan.

3SaringKurangkan 6 kategori kepada 3 kumpulan: hujah-hujah yang diambil serius oleh mahkamah, hujah-hujah yang ditolak oleh pendakwa raya, dan hujah-hujah yang masih dalam proses penilaian.

1KristalkanTulis 1 ayat yang menjelaskan, dengan kata-kata anda sendiri, mengapa kontrak pintar yang membenarkan sesuatu transaksi tidak menentukan sama ada transaksi tersebut sah atau tidak.

Semakan fakta

Tarikh, angka dan dakwaan telah disemak berbanding dengan sumber yang diterbitkan yang disenaraikan di bawah.

Buka dalam akademi interaktif →

EN PT ES ZH JA KO RU DE FR