Israël a extravé vers les États-Unis un bination national israélo-russe pour qu'il réponde à des accusations liées au vol présumé d'environ 2,8 millions de dollars auprès du pont inter-chaînes Nomad, a annoncé jeudi le bureau du procureur général d'Israël, selon un rapport du Jerusalem Post.

Alexander Block, anciennement connu sous le nom d'Alexander Gurevich, a été remis aux autorités américaines tôt jeudi après l'échec de ses recours en Israël. Il avait été arrêté à l'aéroport Ben Gurion en mai 2025 alors qu'il s'apprêtait à monter à bord d'un vol pour la Russie, peu après avoir changé de nom de famille et obtenu un passeport à son nouveau nom. Cette remise est intervenue plus de trois ans après l'exploitation de la faille.

Selon les procureurs, l'exploitation de Block aurait révélé une vulnérabilité que d'autres utilisateurs ont ensuite utilisée pour vider plus de 186 millions de dollars d'un portefeuille contrôlé par Nomad. Les ponts comme Nomad détiennent des pools d'actifs utilisateurs pour transférer des jetons entre blockchains, et leurs réserves concentrées de fonds en ont fait des cibles lors de plusieurs des plus grands vols de crypto.

Acte d'accusation et demande d'extradition

Un grand jury fédéral du district nord de Californie a inculpé Block en août 2023 pour quatre chefs de fraude informatique, un chef de transport de biens volés et trois chefs de blanchiment d'argent, selon le jugement de la Cour suprême israélienne dans cette affaire. Les États-Unis ont formellement demandé son extradition en décembre 2024.

Selon la demande d'extradition américaine, telle qu'exposée dans le jugement, une mise à jour logicielle de juin 2022 a laissé une faille dans les contrats intelligents de Nomad permettant aux utilisateurs de recevoir des jetons sur une blockchain sans bloquer les actifs équivalents sur une autre. Les ponts dépendent de ce verrouillage un pour un pour garantir que les jetons émis sur chaque chaîne soient intégralement adossés, c'est pourquoi une faille rompant ce lien a exposé les dépôts des utilisateurs. Block, présumément opérant sous le pseudonyme « Bitlik », aurait effectué six transferts de test avant de réaliser quatre transferts principaux vers le 1er août 2022, recevant des jetons d'une valeur supérieure à 2,8 millions de dollars. Il aurait ensuite déplacé les jetons via une série de portefeuilles et les aurait convertis en d'autres cryptomonnaies pour dissimuler leur origine.

La demande d'extradition allègue que les actions de Block ont révélé la faille à d'autres utilisateurs de Nomad, qui ont ensuite vidé un portefeuille contrôlé par Nomad contenant plus de 186 millions de dollars de fonds utilisateurs. Quelques jours plus tard, Block a restitué une partie des jetons et a contacté un haut responsable de Nomad sur Telegram, proposant de rendre le reste en échange d'une récompense pour avoir identifié la faille. Il a ensuite coupé tout contact, et Nomad s'est tourné vers les forces de l'ordre américaines.

La Cour suprême rejette le recours

Le tribunal de district de Jérusalem a approuvé l'extradition de Block en juillet 2025. En appel, il a soutenu que ses transactions se bornaient à utiliser des fonctions disponibles dans le système automatisé de Nomad, et que le registre public des transferts sur la blockchain fragilisait les accusations de blanchiment d'argent.

La Cour suprême israélienne a rejeté ces deux arguments. Elle a jugé que l'exploitation d'une faille de programmation peut constituer une intrusion informatique illégale même lorsque le logiciel autorise techniquement l'action, a rapporté le Jerusalem Post. Le tribunal a également estimé que des transactions visibles publiquement n'identifient pas nécessairement les personnes derrière les portefeuilles et n'excluent pas les tentatives de dissimulation de l'origine des fonds. Cette décision aborde une question qui revient chaque fois que des systèmes cryptographiques automatisés sont exploités : un comportement techniquement permis par un programme peut-il néanmoins constituer une infraction pénale.

Le président de la Cour suprême, Isaac Amit, a ensuite rejeté la demande de Block d'un nouvel examen de l'affaire, selon le bureau du procureur général.

Les conséquences de l'exploitation d'août 2022

L'incident d'août 2022 a vidé Nomad de la quasi-totalité de ses fonds. Comme la reproduction de l'attaque initiale nécessitait peu de compétences techniques, le chercheur de Paradigm Sam Sun a comparé ce qui s'ensuivit à « une mêlée générale effrénée », comme l'a rapporté Decrypt à l'époque.

En décembre 2025, la Federal Trade Commission américaine a proposé un règlement avec Illusory Systems, l'opérateur de Nomad, indiquant que le pont avait perdu 186 millions de dollars après que des pirates ont exploité une mise à jour logicielle insuffisamment testée. Aux termes du règlement proposé, la société serait tenue de restituer les fonds récupérés aux utilisateurs qui n'ont pas encore été remboursés. Nomad a récupéré environ 22 millions de dollars dans les jours suivant le piratage. Le règlement de la FTC n'étant encore qu'une proposition et les poursuites contre Block aux États-Unis devant désormais se poursuivre, le processus de remboursement et l'affaire pénale dans le district nord de Californie restent les évolutions à surveiller.