Israele ha estradato negli Stati Uniti un cittadino israelo-russo affinché risponda delle accuse relative al presunto furto di circa 2,8 milioni di dollari dal bridge cross-chain Nomad, come annunciato giovedì dall'Ufficio del Procuratore Generale dello Stato, secondo quanto riportato da The Jerusalem Post.

Alexander Block, in precedenza noto come Alexander Gurevich, è stato consegnato alle autorità statunitensi nella mattinata di giovedì dopo ricorsi respinti in Israele. È stato arrestato all'aeroporto Ben Gurion a maggio 2025 mentre si apprestava a salire su un volo per la Russia, poco dopo aver cambiato cognome e aver ottenuto un passaporto con il nuovo nome. La consegna è avvenuta più di tre anni dopo l'exploit.

Secondo gli accusatori, l'exploit di Block avrebbe esposto una vulnerabilità poi sfruttata da altri utenti per drenare oltre 186 milioni di dollari da un wallet controllato da Nomad. Bridge come Nomad custodiscono pool di asset degli utenti per trasferire token tra blockchain, e le loro riserve concentrate di fondi li hanno resi bersaglio in alcuni dei maggiori furti della storia delle criptovalute.

Incriminazione e richiesta di estradizione

Una grand jury federale del Distretto Settentrionale della California ha incriminato Block nell'agosto 2023 per quattro capi di frode informatica, un capo di trasporto di proprietà rubate e tre capi di riciclaggio di denaro, secondo la sentenza della Corte Suprema israeliana sul caso. Gli Stati Uniti hanno formalmente richiesto la sua estradizione nel dicembre 2024.

Secondo la richiesta di estradizione statunitense, come riportato nella sentenza, un aggiornamento software di giugno 2022 ha lasciato un difetto negli smart contract di Nomad che permetteva agli utenti di ricevere token su una blockchain senza bloccare gli asset equivalenti su un'altra. I bridge dipendono da questo blocco uno-a-uno per garantire che i token emessi su ciascuna catena siano interamente coperti, ed è per questo che un difetto che ne rompeva il collegamento ha esposto i depositi degli utenti. Block, che avrebbe operato con lo username "Bitlik", avrebbe effettuato sei trasferimenti di prova prima di eseguire quattro trasferimenti principali intorno al 1 agosto 2022, ricevendo token per un valore superiore a 2,8 milioni di dollari. Avrebbe quindi spostato i token attraverso una serie di wallet e li avrebbe convertiti in altre criptovalute per nasconderne l'origine.

La richiesta di estradizione sostiene che le azioni di Block avrebbero rivelato il difetto ad altri utenti di Nomad, che avrebbero poi drenato un wallet controllato da Nomad contenente oltre 186 milioni di dollari in fondi degli utenti. Pochi giorni dopo, Block avrebbe restituito parte dei token e contattato un dirigente di Nomad su Telegram, offrendosi di restituire il resto in cambio di un pagamento per aver individuato il difetto. In seguito avrebbe interrotto i contatti, e Nomad si è rivolta alle forze dell'ordine statunitensi.

La Corte Suprema respinge il ricorso

Il Tribunale distrettuale di Gerusalemme ha approvato l'estradizione di Block a luglio 2025. In appello, ha sostenuto che le sue transazioni si limitavano a utilizzare funzioni disponibili nel sistema automatizzato di Nomad, e che la registrazione pubblica dei trasferimenti sulla blockchain smentiva le accuse di riciclaggio.

La Corte Suprema israeliana ha respinto entrambe le argomentazioni. Ha stabilito che sfruttare un difetto di programmazione può costituire intrusione informatica illecita anche quando il software lo consente tecnicamente, come riportato da The Jerusalem Post. La corte ha anche rilevato che le transazioni visibili pubblicamente non identificano necessariamente le persone dietro i wallet, né escludono tentativi di occultare l'origine dei fondi. La sentenza affronta una questione ricorrente ogni volta che sistemi crittografici automatizzati vengono sfruttati: se una condotta che un programma consente tecnicamente possa comunque costituire reato.

Il presidente della Corte Suprema Isaac Amit ha in seguito respinto la richiesta di Block di un ulteriore esame del caso, secondo l'Ufficio del Procuratore Generale dello Stato.

Le conseguenze dell'exploit di agosto 2022

L'incidente di agosto 2022 ha drenato Nomad di quasi tutti i suoi fondi. Poiché replicare l'attacco originale richiedeva poche competenze tecniche, il ricercatore di Paradigm Sam Sun ha paragonato quanto accaduto a "una sorta di charivari generalizzato", come riportato all'epoca da Decrypt.

Nel dicembre 2025, la Federal Trade Commission statunitense ha proposto un accordo con Illusory Systems, l'operatore di Nomad, affermando che il bridge ha perso 186 milioni di dollari dopo che hacker hanno sfruttato un aggiornamento software scarsamente testato. Secondo l'accordo proposto, la società sarebbe tenuta a restituire i fondi recuperati agli utenti che non sono stati ancora rimborsati. Nomad ha recuperato circa 22 milioni di dollari nei giorni successivi all'attacco. Con l'accordo FTC ancora solo una proposta e il procedimento penale contro Block negli USA ormai destinato a proseguire, il processo di rimborso e il caso penale nel Distretto Settentrionale della California restano gli sviluppi da seguire.