イスラエル検察当局は木曜日、クロスチェーンブリッジ「ノマド(Nomad)」から約280万ドルを窃取した疑いで、イスラエル系ロシア人の身柄を米国に引き渡したと発表した。Jerusalem Postの報道による。

アレクサンダー・ブロック氏(旧名アレクサンダー・グレヴィッチ)は、イスラエルでの上訴が不調に終わった後、木曜日早朝に米国当局へ引き渡された。同氏は2025年5月、姓を変更し新姓のパスポートを取得した直後、ロシア行きの飛行機に搭乗しようとしていたところをベングリオン空港で逮捕されていた。引き渡しは、攻撃から3年以上経ってのこととなった。

検察側は、ブロック氏の攻撃が脆弱性を露呈させ、その後他のユーザーがその脆弱性を利用してノマド管理のウォレットから1億8600万ドル超を引き出したと主張している。ノマドのようなブリッジは、ブロックチェーン間でトークンを移動するためにユーザー資産のプールを保有しており、資金が集中していることで暗号資産史上最大級の窃盗事件の標的となってきた。

起訴と身柄引き渡し請求

イスラエル最高裁判決によると、カリフォルニア州北部地区の連邦大陪審は2023年8月、ブロック氏をコンピュータ詐欺罪4件、盗難財産移送罪1件、マネーロンダリング罪3件で起訴した。米国は2024年12月に正式に身柄引き渡しを請求した。

判決書に示された米国の引き渡し請求によると、2022年6月のソフトウェア更新がノマドのスマートコントラクトに脆弱性を残し、ユーザーが別のチェーン上で同等の資産をロックすることなく、あるブロックチェーン上でトークンを受け取れる状態になっていたという。ブリッジはこの1対1のロックによって各チェーンで発行されるトークンを完全に裏付けており、この連携を破る脆弱性がユーザーの預け入れ資産を危険に晒した。「Bitlik」というユーザー名を用いていたとされるブロック氏は、2022年8月1日前後に4回の主要な送金を実行する前に6回のテスト送金を行い、280万ドル超の価値のあるトークンを受け取ったとされる。その後、出所を隠蔽するため複数のウォレットを経由してトークンを移動し、他の暗号資産に換金したとされている。

引き渡し請求によれば、ブロック氏の行為によってこの脆弱性が他のノマドユーザーに知れるところとなり、彼らはノマド管理のウォレットから1億8600万ドル超のユーザー資金を引き出したとされる。数日後、ブロック氏は一部のトークンを返還し、Telegramでノマドの幹部に連絡を取り、脆弱性を発見したことへの報酬と引き換えに残りを返還するよう申し出た。その後同氏は連絡を絶ち、ノマドは米国の法執行機関に通報した。

最高裁、上訴を棄却

エルサレム地方裁判所は2025年7月、ブロック氏の身柄引き渡しを承認した。上訴で同氏は、自身の取引はノマドの自動システム内で利用可能な機能を使ったにすぎないと主張し、ブロックチェーン上の取引記録が公開されていることからマネーロンダリングの疑惑は成立しないと訴えた。

イスラエル最高裁は双方の主張を棄却した。同裁判所は、プログラミング上の欠陥を悪用することは、ソフトウェアが技術的にその行為を許容している場合であっても、違法なコンピュータ侵入に該当しうるとの判断を示した。また、公開されている取引は必ずしもウォレットの背後にいる人物を特定するものではなく、資金の出所を隠蔽する試みを排除するものでもないと認定した。この判決は、自動化された暗号資産システムが悪用されるたびに繰り返される問い、すなわちプログラムが技術的に許容する行為が依然として犯罪になりうるかどうかに応えるものとなっている。

検察当局によると、最高裁長官のアイザック・アミット氏はその後、ブロック氏による再審理の申立てを棄却した。

2022年8月攻撃のその後

2022年8月のこの事件で、ノマドは資金のほぼすべてを流出させた。元の攻撃を模倣するのに高度な技術はほとんど必要なかったため、Paradigmの研究者サム・サン氏は、その後の状況を「狂乱したフリーオール(誰でも参加できる略奪の祭り)」に例えたと、当時Decryptが報じている。

2025年12月、米連邦取引委員会(FTC)はノマドの運営会社Illusory Systemsとの和解案を提案し、テスト不十分なソフトウェア更新の脆弱性をハッカーに悪用されて1億8600万ドルを失ったと述べた。和解案の下で、同社はまだ補償を受けていないユーザーに回収した資金を返還することが求められることになる。ノマドはハッキング後数日で約2200万ドルを回収していた。FTCの和解がいまだ提案段階であり、ブロック氏の米国での刑事手続きが本格化するなか、返還プロセスとカリフォルニア州北部地区での刑事事件が今後注目される動向となっている。