Israël heeft een Israëlisch-Russische staatsburger uitgeleverd aan de Verenigde Staten om zich te verantwoorden voor de beschuldiging van de diefstal van circa 2,8 miljoen dollar van crypto bridge Nomad, zo heeft het Israëlische Openbaar Ministerie donderdag aangekondigd, aldus een bericht van The Jerusalem Post.

Alexander Block, voorheen bekend als Alexander Gurevich, werd donderdagochtend overgedragen aan de Amerikaanse autoriteiten nadat beroepen in Israël waren afgewezen. Hij werd in mei 2025 gearresteerd op Ben Gurion-luchthaven terwijl hij zich voorbereidde om naar Rusland te vliegen, kort nadat hij zijn achternaam had veranderd en een paspoort onder zijn nieuwe naam had verkregen.

Volgens aanklagers legde de exploit van Block een zwakke plek bloot die andere gebruikers vervolgens gebruikten om meer dan 186 miljoen dollar uit een door Nomad beheerde wallet te leadsen. Het Israëlische Hooggerechtshof wees zijn beroep af en oordeelde dat het exploiteren van een programmeerfout onrechtmatige computerindringing kan vormen, zelfs als de software dit toestond.

Aanklacht en uitleveringsverzoek

Een federale grand jury in het Noordelijke District van Californië dagvaardde Block in augustus 2023 wegens vier feiten van computerfraude, één feit van vervoer van gestolen eigendommen en drie feiten van witwassen, volgens het arrest van het Israëlische Hooggerechtshof in de zaak. De VS verzocht om zijn uitlevering in december 2024.

Volgens het Amerikaanse uitleveringsverzoek, zoals uiteengezet in het arrest, liet een software-update van juni 2022 een zwakke plek achter in Nomads smart contracts waardoor gebruikers tokens op één blockchain konden ontvangen zonder de gelijkwaardige activa op een andere te vergrendelen. Bridges houden gezamenlijke gebruikersactiva aan als onderpand voor tokenoverdrachten tussen chains, dus een fout in die vergrendelingsstap — eenmaal zichtbaar on-chain — bracht een hele voorraad gebruikersfondsen in gevaar. Block, actief onder de gebruikersnaam "Bitlik", would zes testoverdrachten hebben gedaan voordat hij rond 1 augustus 2022 vier hoofdoverdrachten uitvoerde, waarbij hij tokens ter waarde van meer dan 2,8 miljoen dollar ontving. Vervolgens would hij de tokens via verschillende wallets hebben verplaatst en omgezet in andere cryptocurrencies om hun oorsprong te verhullen.

Zijn acties legden de zwakke plek bloot aan andere Nomad-gebruikers, die een door Nomad beheerde wallet met meer dan 186 miljoen dollar aan gebruikersfondsen leeghaalden, aldus het verzoek. Enkele dagen later would Block een deel van de tokens hebben teruggegeven en contact hebben opgenomen met een seniorfunctionaris van Nomad via Telegram, waarbij hij aanbood de rest terug te geven in ruil voor betaling voor het vinden van de zwakke plek. Later brak hij het contact af, en Nomad wendde zich tot de Amerikaanse rechtshandhaving.

De uitspraak van het Hooggerechtshof

De arrondissementsrechtbank van Jeruzalem keurde Blocks uitlevering in juli 2025 goed. In beroep voerde hij aan dat de transacties gebruikmaakten van functies die beschikbaar waren binnen Nomads geautomatiseerde systeem, en dat het openbare register van blockchain-transacties de beschuldigingen van witwassen ondergroef.

Het Hooggerechtshof verwierp beide argumenten en oordeelde dat het exploiteren van een programmeerfout onrechtmatige computerindringing kan vormen, zelfs als de software de handeling technisch toestond, aldus The Jerusalem Post. De uitspraak betekent dat technische toegankelijkheid op zichzelf geen verweer is tegen beschuldigingen van indringing — een vraag die inherent is aan blockchain-exploits, waarbij systemen automatisch uitvoeren en hun transactieregisters openbaar zijn. Het Hof stelde ook vast dat openbaar zichtbare transacties niet noodzakelijk de personen achter wallets identificeren of pogingen uitsluiten om de herkomst van fondsen te verhullen.

Voorzitter van het Hooggerechtshof Isaac Amit wees later Blocks verzoek om een heroverweging af, aldus het Openbaar Ministerie.

Achtergrond van de Nomad-exploit

De exploit van augustus 2022 leadsde Nomad vrijwel al zijn fondsen leeg. Omdat het kopiëren van de oorspronkelijke aanval weinig technische kennis vereiste, vergeleek Paradigm-onderzoeker Sam Sun wat volgde met "een waanzinnige free-for-all", meldde Decrypt destijds.

In december 2025 stelde de Federal Trade Commission een schikking voor met Illusory Systems, de exploitant van Nomad, waarbij werd gesteld dat de bridge 186 miljoen dollar verloor nadat hackers een slecht geteste software-update hadden geëxploiteerd. De schikking would vereisen dat het bedrijf teruggevonden fondsen terugbetaalt aan gebruikers die nog niet zijn gecompenseerd. Nomad ving in de dagen na de hack circa 22 miljoen dollar terug, waardoor het grootste deel van de gebruikersverliezen ongedekt bleef. Nu de uitlevering is afgerond, gaat Blocks zaak verder bij de Amerikaanse rechtbanken op basis van de aanklacht uit 2023, terwijl terugbetaling aan niet-gecompenseerde gebruikers afhangt van de definitieve goedkeuring van de voorgestelde FTC-schikking.