Israël heeft een Israëlisch-Russische staatsburger uitgeleverd aan de Verenigde Staten om zich te verantwoorden voor de beschuldiging van diefstal van ruim $2,8 miljoen van de cross-chain bridge Nomad, maakte het Openbaar Ministerie van Israël donderdag bekend, volgens een bericht van The Jerusalem Post.

Alexander Block, eerder bekend als Alexander Gurevich, werd donderdagochtend overgedragen aan de Amerikaanse autoriteiten nadat zijn beroepen in Israël zonder succes waren gebleven. Hij werd in mei 2025 gearresteerd op Ben Gurion Airport terwijl hij een vlucht naar Rusland wilde nemen, kort nadat hij zijn achternaam had gewijzigd en een paspoort onder zijn nieuwe naam had verkregen. De overdracht kwam ruim drie jaar na de exploit zelf.

Volgens de aanklagers legde de exploit van Block een kwetsbaarheid bloot die andere gebruikers vervolgens gebruikten om meer dan $186 miljoen uit een door Nomad beheerde wallet te halen. Bridges zoals Nomad beheren pools van gebruikersactiva om tokens tussen blockchains te verplaatsen, en hun geconcentreerde fondsen hebben ze tot doelwit gemaakt in verschillende van de grootste diefstallen in de cryptogeschiedenis.

Aanklacht en uitleveringsverzoek

Een federale grand jury in het Noordelijke District van Californië klaagde Block in augustus 2023 aan wegens vier tellen computerfraude, één tel vervoer van gestolen eigendommen en drie tellen witwassing, volgens het arrest van het Hooggerechtshof van Israël in de zaak. De Verenigde Staten dienden formeel een uitleveringsverzoek in december 2024 in.

Volgens het Amerikaanse uitleveringsverzoek, zoals uiteengezet in het arrest, liet een software-update van juni 2022 een fout na in de slimme contracten van Nomad waardoor gebruikers tokens op één blockchain konden ontvangen zonder de gelijkwaardige activa op een andere te vergrendelen. Bridges zijn afhankelijk van die een-op-een-vergrendeling om de tokens op elke chain volledig gedekt te houden, waardoor een fout die die koppeling doorbrak de gebruikersdeposito's blootstelde. Block, die naar verluidt onder de gebruikersnaam "Bitlik" opereerde, zou zes testtransacties hebben uitgevoerd voordat hij rond 1 augustus 2022 vier hoofdtransacties uitvoerde, waarbij hij tokens ontving ter waarde van meer dan $2,8 miljoen. Vervolgens zou hij de tokens via een reeks wallets hebben verplaatst en omgezet in andere cryptocurrencies om hun oorsprong te verhullen.

Het uitleveringsverzoek stelt dat Block's acties de fout aan andere Nomad-gebruikers onthulden, die vervolgens een door Nomad beheerde wallet met meer dan $186 miljoen aan gebruikersfondsen leeghaalden. Enkele dagen later retourneerde Block een deel van de tokens en nam hij contact op met een senior functionaris van Nomad via Telegram, waarbij hij aanbood de rest terug te geven in ruil voor betaling voor het vinden van de fout. Hij verbrak later het contact en Nomad schakelde de Amerikaanse politie in.

Hooggerechtshof wijst beroep af

De arrondissementsrechtbank van Jeruzalem keurde Blocks uitlevering in juli 2025 goed. In beroep voerde hij aan dat zijn transacties slechts functies gebruikten die binnen het geautomatiseerde systeem van Nomad beschikbaar waren, en dat het openbare register van blockchain-transacties de aanklachten wegens witwassing ondergroef.

Het Hooggerechtshof van Israël verwierp beide argumenten. Het oordeelde dat het misbruiken van een programmeerfout onrechtmatige computerinbraak kan vormen, zelfs als de software de handeling technisch toestaat, meldde The Jerusalem Post. Het hof stelde ook vast dat openbaar zichtbare transacties niet noodzakelijk de personen achter de wallets identificeren en geen uitsluitsel geven over pogingen om de oorsprong van fondsen te verhullen. De uitspraak raakt aan een vraag die telkens terugkeert wanneer geautomatiseerde cryptosystemen worden misbruikt: of gedrag dat een programma technisch toestaat toch strafbaar kan zijn.

Voorzitter van het Hooggerechtshof Isaac Amit wees later Blocks verzoek om een nadere hoorzitting af, volgens het Openbaar Ministerie.

Nasleep van de exploit van augustus 2022

Het incident van augustus 2022 haalde vrijwel alle fondsen van Nomad weg. Omdat het reproduceren van de oorspronkelijke aanval weinig technische kennis vereiste, vergeleek Paradigm-onderzoeker Sam Sun wat volgde met "een dolle gratis-voor-alles", zoals Decrypt destijds meldde.

In december 2025 stelde de Amerikaanse Federal Trade Commission een schikking voor met Illusory Systems, de exploitant van Nomad, waarbij werd gesteld dat de bridge $186 miljoen verloor nadat hackers een slecht geteste software-update hadden misbruikt. Onder de voorgestelde schikking zou het bedrijf verplicht worden teruggevonden fondsen terug te betalen aan gebruikers die nog geen vergoeding hebben ontvangen. Nomad vond in de dagen na de hack ongeveer $22 miljoen terug. Nu de FTC-schikking nog slechts een voorstel is en Blocks Amerikaanse vervolging nu verder zal gaan, blijven het terugbetalingsproces en de strafzaak in het Noordelijke District van Californië de ontwikkelingen om in de gaten te houden.