Israel hat einen israelisch-russischen Staatsangehörigen in die Vereinigten Staaten ausgeliefert, der sich wegen des mutmaßlichen Diebstahls von rund 2,8 Millionen Dollar von der Crypto-Bridge Nomad verantworten muss. Dies gab die israelische Staatsanwaltschaft am Donnerstag bekannt, wie The Jerusalem Post berichtet.

Alexander Block, früher bekannt als Alexander Gurevich, wurde am Donnerstagmorgen an die US-Behörden übergeben, nachdem seine Rechtsmittel in Israel erfolglos geblieben waren. Er wurde im Mai 2025 am Flughafen Ben Gurion festgenommen, als er sich auf einen Flug nach Russland vorbereitete – kurz nachdem er seinen Nachnamen geändert und einen Pass auf den neuen Namen erhalten hatte.

Die Anklagebehörde wirft Block vor, dass sein Exploit eine Schwachstelle offengelegt hat, die andere Nutzer anschließend nutzten, um mehr als 186 Millionen Dollar aus einer von Nomad kontrollierten Wallet abzuziehen. Israels Oberster Gerichtshof wies seine Berufung zurück und entschied, dass die Ausnutzung eines Programmfehlers auch dann einen rechtswidrigen Computereindringling darstellen kann, wenn die Software dies zuließ.

Anklage und Auslieferungsersuchen

Eine Bundesgroßjury im Northern District of California brachte Block im August 2023 wegen vierfachen Computerbetrugs, einmaliger Hehlerei durch Transport gestohlener Güter und dreifacher Geldwäsche in Anklage, wie dem Urteil des israelischen Obersten Gerichtshofs in dem Fall zu entnehmen ist. Die USA beantragten seine Auslieferung im Dezember 2024.

Dem US-Auslieferungsersuchen zufolge, wie es im Urteil dargelegt ist, hinterließ ein Softwareupdate im Juni 2022 eine Schwachstelle in Nomads Smart Contracts, die es Nutzern ermöglichte, Token auf einer Blockchain zu erhalten, ohne die entsprechenden Vermögenswerte auf einer anderen zu hinterlegen. Bridges halten gebündelte Nutzervermögen zur Absicherung von Token-Transfers zwischen Chains, sodass eine Schwachstelle in diesem Verifizierungsschritt – sobald sie on-chain sichtbar wurde – einen gesamten Pool von Nutzergeldern gefährdete. Block, der unter dem Benutzernamen "Bitlik" agierte, soll sechs Testtransfers durchgeführt haben, bevor er um den 1. August 2022 vier Hauptübertragungen ausführte und Token im Wert von mehr als 2,8 Millionen Dollar erhielt. Anschließend soll er die Token durch mehrere Wallets bewegt und in andere Kryptowährungen umgetauscht haben, um ihre Herkunft zu verschleiern.

Sein Vorgehen legte die Schwachstelle für andere Nomad-Nutzer offen, die eine von Nomad kontrollierte Wallet mit mehr als 186 Millionen Dollar an Nutzergeldern leerten, so der Antrag. Einige Tage später gab Block einen Teil der Token zurück und kontaktierte einen hochrangigen Nomad-Mitarbeiter auf Telegram, wobei er anbot, den Rest gegen eine Zahlung für das Auffinden der Schwachstelle zurückzugeben. Später brach er den Kontakt ab, und Nomad wandte sich an die US-Strafverfolgungsbehörden.

Das Urteil des Obersten Gerichtshofs

Das Jerusalemer Bezirksgericht genehmigte Blocks Auslieferung im Juli 2025. In der Berufung argumentierte er, dass die Transaktionen Funktionen innerhalb von Nomads automatisiertem System genutzt hätten und dass die öffentliche Aufzeichnung der Blockchain-Transfers den Geldwäschevorwürfen widerspreche.

Der Oberste Gerichtshof wies beide Argumente zurück und stellte fest, dass die Ausnutzung eines Programmfehlers auch dann einen rechtswidrigen Computereindringling darstellen kann, wenn die Software die Handlung technisch zuließ, wie The Jerusalem Post berichtete. Das Urteil bedeutet, dass technische Erlaubtheit allein keine Verteidigung gegen Anklagen wegen unerlaubten Eindringens ist – eine Frage, die bei Blockchain-Exploits inhärent ist, da Systeme automatisch ausgeführt werden und ihre Transaktionsaufzeichnungen öffentlich sind. Das Gericht stellte ferner fest, dass öffentlich einsehbare Transaktionen die Personen hinter Wallets nicht zwangsläufig identifizieren oder Bemühungen ausschließen, die Herkunft der Gelder zu verschleiern.

Der Präsident des Obersten Gerichtshofs, Isaac Amit, lehnte später Blocks Antrag auf eine weitere Anhörung ab, so die Staatsanwaltschaft.

Hintergrund zum Nomad-Exploit

Der Exploit im August 2022 entleerte Nomad nahezu vollständig. Da die Kopie des ursprünglichen Angriffs kaum technisches Wissen erforderte, verglich der Paradigm-Forscher Sam Sun die anschließenden Ereignisse mit "einer frenetischen Freibeuterjagd", wie Decrypt damals berichtete.

Im Dezember 2025 schlug die Federal Trade Commission eine Vergleichsregelung mit Illusory Systems, dem Betreiber von Nomad, vor und erklärte, die Bridge habe 186 Millionen Dollar verloren, nachdem Hacker ein unzureichend getestetes Softwareupdate ausgenutzt hatten. Der Vergleich würde das Unternehmen verpflichten, wiedergefundene Gelder an Nutzer zurückzuerstatten, die noch nicht entschädigt wurden. Nomad holte in den Tagen nach dem Hack rund 22 Millionen Dollar zurück, sodass der Großteil der Nutzerverluste unbeglichen bleibt. Mit Abschluss der Auslieferung geht Blocks Fall nun vor den US-Gerichten gemäß der Anklage von 2023 weiter, während die Entschädigung für nicht ausgezahlte Nutzer davon abhängt, dass die vorgeschlagene FTC-Vergleichsregelung finalisiert wird.