布魯克林最高法院判處四至十二年監禁

布魯克林一家法院判處23歲的Ronald Spektor四至十二年不定期刑期,罪名是從約100名Coinbase用戶竊取近1,600萬美元。此次判刑於9月23日在地區檢察官辦公室的公開聲明中宣布,聲明指出,在Spektor於9月2日對起訴書中全部31項罪名認罪——其中包括一級洗錢、一級重大竊盜及一級持有贓物罪——之後,布魯克林最高法院法官Danny Chun作出上述判決。

檢方原本尋求更重的刑期,要求判處七至二十一年;辯方此前曾主張本案依據的資訊不完整,但認罪使這一爭論告終。Spektor於2025年12月被捕,最初曾作無罪答辯。

本案為地區檢察官虛擬貨幣部門長達一年的調查畫下句點,該部門估算損失總額約為1,594.4萬美元,並訪談了70多名受害者。地區檢察官Eric Gonzalez將此案形容為「針對近100名受害者的數位搶劫」。

至關重要的是,Coinbase的基礎設施從未被入侵。這起竊案是社交工程而非程式碼攻擊——沒有智慧型合約被盜刷,也沒有最大可提取價值操縱——只是一通聽起來足夠官方、足以讓用戶轉出資金的電話。

冒充手法全解析

方表示,Spektor聯繫受害者時自稱任職於Coinbase,警告駭客已經——或即將——入侵他們的帳戶。這種施壓手段奏效:用戶被指示將資產轉入一個他們以為只有自己能掌控的所謂安全錢包。實際上,Spektor在每筆轉帳到帳的瞬間即可動用,部分受害者甚至直接交出助記詞,其後資產便被提取並透過與他相關的錢包轉移。

起訴書中的案例顯示這種信任是如何被製造出來的。賓州一名受害者在收到偽造的雙因素驗證簡訊——看似來自Coinbase與Google——之後,又接獲自稱Coinbase安全部門「Fred Wilson」的來電,損失約53,150美元。加州一名用戶損失超過100萬美元,維吉尼亞州一名居民損失超過90萬美元,馬里蘭州一名受害者則在收到自稱員工「James Wilson」的電子郵件後損失約38,750美元。

此類冒充手法通常依賴仿冒品牌與模仿官方支援頁面的假區塊鏈網域,而且這種模式遠遠超出了單一交易所的用戶群——類似犯罪集團的目標涵蓋從比特幣到Algorand (ALGO)的各類持幣者。

鏈上追蹤資金流向

資金流向透過鏈上鑑識得以釐清。根據地區檢察官辦公室的說法,調查人員結合交易紀錄、區塊鏈分析、數位鑑識以及多張搜索令取得的證據——將Spektor的住宅IP位址與多個接收贓款的錢包連結起來。

根據12月的起訴書,Spektor以@lolimfeelingevil的網路身分活動,經營名為「Blockchain enemies」的Telegram頻道,並利用Discord討論得手的竊案並招募其他社交工程人員。起獲的訊息顯示,他已將約600萬美元的加密貨幣賭光,手機證據則顯示在詐欺指控浮現後,他丟棄了一個硬體錢包並取得替代品。

贓款流動迅速:被反覆兌換成其他加密貨幣、轉換為現金後花用——其中大部分流向賭博服務與線上商店。當局在最初調查中查扣約105,000美元現金與價值400,000美元的加密貨幣,Coinbase則協助確認受影響客戶、蒐集證據並追蹤資金。

9月23日的判決命令還包括沒收價值超過50萬美元的現金、加密貨幣與財產,並追繳接近全部損失金額的賠償——對社交工程受害者,這種追回結果仍屬罕見,因為沒有任何保單能像小眾DeFi保險保障特定協議故障那樣為他們提供保護。

Coinbase不斷重複的警告

沒有漏洞攻擊、沒有跨鏈橋駭擊、沒有平台故障——只是被製造出來的緊迫感,以及一名熟知正確術語的來電者。Coinbase的官方安全指南指出,其客服人員絕不會要求用戶將資金轉入新錢包、透露助記詞或分享雙因素驗證碼,並告訴任何收到此類要求的用戶立即終止聯繫。

本案中鑑識發揮了作用——住宅IP位址、錢包叢集分析、搜索令——但成本最低的防線,其實在於通話另一端的使用者本身。