MSTR Cat

加密资产法/等级 VI · 市场行为/6.2 内幕人士与跑路骗局/课程 6

黑客攻击与漏洞利用即属盗窃行为

为何“代码允许这样做”并未阻止美国检察官以计算机欺诈、电信欺诈和洗钱罪起诉智能合约漏洞利用行为，以及法院在哪些地方提出了质疑。

本内容为教育性质，不构成法律、税务或投资建议。加密资产相关法律因国家和州而异，且经常变化。采取行动前，请向您所在地的合格律师或税务顾问核实现行规定。

精简路径

法律允许的最省钱、税负最低、最简单、最私密的做法，按优先顺序排列。每一步都注明所依据的规则，以及保持合法所需满足的条件。

  1. 开发者：最经济的法律防护手段是在上线前制定一份事故应对预案，明确指定由谁负责保存日志和哈希值、记录攻击者地址，并联系 IC3（互联网犯罪投诉中心）、稳定币发行方及交易所。举报本身不产生任何费用；而拖延则会错失冻结涉案资产的机会。
  2. 受害者可依据《美国法典》第 18 编 §1030(g) 提起民事诉讼，主张损害赔偿金并申请禁令，该诉讼可与任何刑事程序并行。但须注意：必须在侵权行为发生之日或发现损害之日起 2 年内提起诉讼。
  3. 不存在任何低成本且合法的途径来隐藏被窃取的资金：“代码允许这样做”这一理由并未能免除艾哈迈德在2024年被判的三年刑期以及约1230万美元的财产罚没。合法的替代做法是通过已公布的漏洞赏金计划来报告该缺陷。
  4. 切勿接收或转移任何可追溯至黑客攻击或与受制裁主体相关的资金，例如 FBI（联邦调查局）将其与 2025 年 2 月 Bybit 被盗事件相关联的那些地址。对照 OFAC（美国财政部海外资产控制办公室）的免费制裁名单进行筛查不产生任何费用；民事制裁处罚通常适用严格责任原则。

材料《美国法典》第18编第1030条，即《计算机欺诈与滥用法》（网址：law.cornell.edu）美国检察官2024年4月关于沙基布·艾哈迈德量刑的新闻稿，以及2025年2月关于梅杰多维奇被起诉的新闻稿FBI于2025年2月26日发布的关于Bybit被盗案的公共服务公告第6.1.4课（抢先交易与MEV）和第6.1.5课（Mango Markets案例）

好奇

  1. 如果智能合约允许我提取资金，那这样取钱怎么会是盗窃呢？
  2. 检察官会用哪些联邦法律来惩处去中心化金融领域的欺诈者？
  3. 在遭遇漏洞利用后，协议或其用户除了报警之外还能做些什么？

探索

  1. 一些漏洞利用者认为，智能合约本身就是完整的协议，因此只要其代码允许的行为即可被接受。但美国检察官并不认同这一观点。他们依据《计算机欺诈与滥用法》（18 U.S.C. §1030）对这类行为进行起诉，该条款规定，故意未经授权访问受保护计算机或超出授权范围访问计算机且具有诈骗意图的，将受到处罚；同时也会依据电信欺诈法（18 U.S.C. §1343）进行起诉，因为此类漏洞利用往往依赖于虚假价格或操纵输入数据等欺骗手段；此外，当犯罪所得被跨链、混合或交换以掩盖其来源时，还会根据反洗钱法律予以追究。目前，法院仍在界定这些法律的适用边界。
  2. 纽约南区首次出现了针对智能合约黑客行为的定罪判决。资深安全工程师沙基布·艾哈迈德的简历中列有智能合约逆向工程及区块链审计相关经验，他在2022年7月利用虚假价格数据，在一家去中心化交易所中骗取了约900万美元的虚高费用。几周后，他又利用了Nirvana Finance的漏洞，盗走了该平台几乎所有的资金，共计约360万美元；Nirvana Finance随即关闭。他还通过各种跨链桥、Monero以及混币服务来清洗赃款。2023年12月，他承认了一项计算机欺诈罪。
  3. 2024年4月12日，维克托·马雷罗法官判处艾哈迈德三年监禁及三年监督释放期，同时下令没收约1230万美元以及大量加密货币，并要求其向两名受害者赔偿500多万美元。2025年2月，纽约东区检察官公布了针对加拿大人安第安·梅杰多维奇的起诉书，指控其犯有电信欺诈、计算机黑客攻击、敲诈未遂及洗钱罪。检方称他利用借来的资金制造虚假价格，从KyberSwap和Indexed Finance这两个交易池中盗走了约6500万美元。在面临指控时，他仍在逃。
  4. 并非所有起诉都能成功。2025年5月，初审法官撤销了阿布拉罕·艾森伯格在Mango Markets案中的欺诈及操纵市场罪名，部分原因是证据未能证明存在虚假陈述；政府对此案的上诉内容见第6.1.5课。安东与詹姆斯·佩拉尔-布埃诺被指控利用以太坊的区块构建过程在12秒内窃取约2500万美元，该案于2025年11月以审判无效告终（见第6.1.4课）。对于开发者而言，信号是混合的：漏洞利用行为通常会被起诉，但欺诈法在何种程度上适用于针对代码的“操纵性”交易，目前仍在裁定中。
  5. 刑法只是其中一种途径。《计算机欺诈与滥用法》允许遭受符合法定条件的损害或损失的人提起民事诉讼，要求获得赔偿并申请禁令（18 U.S.C. §1030(g)）。稳定币发行方和交易所可以冻结其控制的资产。国家行为体则涉及制裁问题：2025年2月26日，FBI将2025年2月21日左右从Bybit交易所窃取的约15亿美元的资金归咎于朝鲜（FBI称其为“TraderTraitor”），并敦促相关服务封锁这些地址。任何处理此类资金的人都将面临制裁风险（见第5.2.5课）。
  6. 在项目启动前，为开发者制定一份实用的应对计划是值得的。该计划应明确由谁负责保存日志和交易哈希值、由谁记录攻击者的地址，以及由谁联系FBI的IC3部门、受影响的稳定币发行方及大型交易所。此外，还应规定谁有资格与攻击者沟通以及可以提供什么条件（见第6.2.7课）。切勿向任何人承诺可使其免于起诉；私人协议无法赋予此类豁免权。用户应当明白，无论漏洞利用者如何辩解代码的问题，故意接收或转移被盗资金本身就可能构成洗钱罪。

关键事实

  • 《美国法典》第18编第1030条(a)(4)款规定，故意未经授权访问受保护的计算机，或超出授权范围进行访问，且意图欺诈以获取任何有价值的东西的，将受到处罚。
  • 2023年12月，沙基布·艾哈迈德承认了一项计算机欺诈罪。检方称，这是首起因黑客攻击智能合约而被定罪的案件。
  • 2024年4月12日，艾哈迈德被判处三年监禁，并被责令没收约1230万美元的财产，同时需支付超过500万美元的赔偿金。
  • 2025年2月，纽约东区检察官以电信欺诈、计算机黑客攻击、敲诈未遂以及洗钱等罪名起诉了安第安·梅杰多维奇，指控其从KyberSwap和Indexed Finance处窃取了约6500万美元。
  • 《美国法典》第18编第1030条(g)款允许因违法行为而遭受相应损害或损失的人提起诉讼，要求获得赔偿及禁令救济。
  • 2025年2月26日，FBI将Bybit交易所约15亿美元的资金被盗事件归咎于他们所称的“TraderTraitor”这一朝鲜势力。

练习 九、六、三、一

9收集列出一个人可能用来为通过智能合约漏洞获取资金的行为找借口的说法，最多9条（有些列表会更短），例如“代码允许这样做”、“这是套利行为”或“我打算把钱还回去”。
6归类将它们分为6类：关于授权的论点、关于欺骗的论点、关于归还意图的论点、关于市场公平性的论点、关于受害者身份的论点，以及仅作为借口的论点。
3提炼将这6类观点归纳为3组：法院予以重视的观点、检察官不予采纳的观点，以及仍在评估中的观点。
1凝结用1句话解释（用你自己的话），为什么智能合约允许某笔交易进行，并不能决定该交易是否合法。

事实核查

日期、数字及数据均依据下方列出的已发表资料进行核实。

在互动学院中打开 →

EN PT ES JA KO RU DE FR MS