Israel hat einen israelisch-russischen Staatsangehörigen in die Vereinigten Staaten ausgeliefert, um sich wegen des mutmaßlichen Diebstahls von rund 2,8 Millionen US-Dollar von der Cross-Chain-Bridge Nomad zu verantworten, wie die israelische Staatsanwaltschaft am Donnerstag ankündigte, Bericht der Jerusalem Post.

Alexander Block, zuvor bekannt als Alexander Gurevich, wurde am frühen Donnerstagmorgen den US-Behörden übergeben, nachdem seine Rechtsmittel in Israel erfolglos geblieben waren. Er wurde im Mai 2025 am Flughafen Ben Gurion festgenommen, als er sich auf einen Flug nach Russland vorbereitete – kurz nachdem er seinen Nachnamen geändert und einen Pass unter seinem neuen Namen erhalten hatte. Die Übergabe erfolgte mehr als drei Jahre nach dem Exploit selbst.

Der Staatsanwaltschaft zufolge deckte Blocks Exploit eine Schwachstelle auf, die andere Nutzer anschließend nutzten, um eine von Nomad kontrollierte Wallet um mehr als 186 Millionen US-Dollar zu entleeren. Bridges wie Nomad halten Pools von Nutzer-Assets, um Token zwischen Blockchains zu bewegen, und ihre konzentrierten Geldbestände machten sie zu Zielen einiger der größten Kryptodiebstähle.

Anklage und Auslieferungsersuchen

Eine Bundesgroßjury im Northern District of California erhob im August 2023 Anklage gegen Block wegen vierfachen Computerbetrugs, einmaliger Hehlerei durch Transport gestohlenen Eigentums und dreifacher Geldwäsche, wie aus dem Urteil des israelischen Obersten Gerichtshofs in dem Fall hervorgeht. Die Vereinigten Staaten beantragten seine Auslieferung formell im Dezember 2024.

Laut dem US-Auslieferungsersuchen, wie es im Urteil dargelegt ist, hinterließ ein Softwareupdate im Juni 2022 eine Schwachstelle in Nomads Smart Contracts, die es Nutzern ermöglichte, Token auf einer Blockchain zu erhalten, ohne die äquivalenten Assets auf einer anderen zu hinterlegen. Bridges sind auf diese Eins-zu-Eins-Hinterlegung angewiesen, damit die auf jeder Chain ausgegebenen Token vollständig gedeckt sind – weshalb eine Schwachstelle, die diese Verknüpfung brach, die Nutzereinlagen exponierte. Block, der mutmaßlich unter dem Benutzernamen „Bitlik“ agierte, soll sechs Testüberweisungen durchgeführt haben, bevor er um den 1. August 2022 vier Hauptüberweisungen ausführte und Token im Wert von mehr als 2,8 Millionen US-Dollar erhielt. Anschließend verlagerte er die Token mutmaßlich über mehrere Wallets und tauschte sie in andere Kryptowährungen um, um ihre Herkunft zu verschleiern.

Dem Auslieferungsersuchen zufolge deckten Blocks Handlungen die Schwachstelle für andere Nomad-Nutzer auf, die daraufhin eine von Nomad kontrollierte Wallet mit mehr als 186 Millionen US-Dollar an Nutzer Geldern entleerten. Wenige Tage später gab Block einen Teil der Token zurück und kontaktierte einen führenden Nomad-Mitarbeiter über Telegram und bot an, den Rest im Austausch für eine Zahlung für das Auffinden der Schwachstelle zurückzugeben. Später brach er den Kontakt ab, und Nomad wandte sich an die US-Strafverfolgungsbehörden.

Oberster Gerichtshof weist Berufung zurück

Das Jerusalemer Bezirksgericht genehmigte Blocks Auslieferung im Juli 2025. In der Berufung argumentierte er, seine Transaktionen hätten lediglich Funktionen genutzt, die innerhalb von Nomads automatisiertem System verfügbar waren, und dass die öffentliche Aufzeichnung der Blockchain-Transaktionen die Vorwürfe der Geldwäsche entkräftete.

Israels Oberster Gerichtshof wies beide Argumente zurück. Er hielt fest, dass die Ausnutzung eines Programmfehlers eine rechtswidrige Computerintrusion darstellen kann, selbst wenn die Software die Handlung technisch zulässt, so die Jerusalem Post. Das Gericht stellte außerdem fest, dass öffentlich sichtbare Transaktionen nicht zwangsläufig die Personen hinter den Wallets identifizieren und Bemühungen zur Verschleierung der Geldherkunft nicht ausschließen. Das Urteil befasst sich mit einer Frage, die immer wieder aufkommt, wenn automatisierte Kryptosysteme ausgenutzt werden: Ob ein Verhalten, das ein Programm technisch erlaubt, dennoch strafbar sein kann.

Der Präsident des Obersten Gerichtshofs, Isaac Amit, lehnte Blocks Antrag auf eine weitere Anhörung später ab, so die Staatsanwaltschaft.

Folgen des Exploits vom August 2022

Der Vorfall vom August 2022 entleerte Nomad von nahezu allen seinen Mitteln. Da die Wiederholung des ursprünglichen Angriffs kaum technisches Können erforderte, verglich der Paradigm-Forscher Sam Sun das, was folgte, mit „einem frenetischen Freien-für-Alle“, wie Decrypt seinerzeit berichtete.

Im Dezember 2025 schlug die US-Handelskommission FTC einen Vergleich mit Illusory Systems, dem Betreiber von Nomad, vor und erklärte, die Bridge habe 186 Millionen US-Dollar verloren, nachdem Hacker ein schlecht getestetes Softwareupdate ausgenutzt hatten. Nach dem vorgeschlagenen Vergleich müsste das Unternehmen wiedererlangte Mittel an Nutzer zurückzahlen, die noch nicht entschädigt wurden. Nomad erlangte in den Tagen nach dem Hack rund 22 Millionen US-Dollar zurück. Da der FTC-Vergleich weiterhin nur ein Vorschlag ist und das US-Verfahren gegen Block nun fortgesetzt werden soll, bleiben der Entschädigungsprozess und das Strafverfahren im Northern District of California die Entwicklungen, denen man Aufmerksamkeit schenken sollte.