以色列将Alexander Block引渡至美国 涉280万美元Nomad桥盗窃

本古里安机场落网

以色列州检察官办公室周四证实,2022年Nomad桥协议盗窃案的主要嫌疑人已被引渡至美国。嫌疑人Alexander Block原名Alexander Gurevich,在以色列国内的各项上诉均告失败后,于周四凌晨被移交美方。他于2025年5月在特拉维夫本古里安机场被捕,当时他已改姓并持新护照,正准备登机飞往俄罗斯。加州北区联邦大陪审团早在2023年8月就对他提出起诉,罪名包括四项计算机欺诈、一项运输被盗财产和三项洗钱,华盛顿方面随后于2024年12月正式提出引渡请求。

检方在文件中陈述了作案手法:2022年6月,Nomad的一次软件更新在智能合约中留下漏洞,使用户可以在一条区块链上收到代币,而无须在另一条链上锁定等值资产。Nomad运营的是一条跨链桥,即在多条区块链之间转移代币的服务。Block以“Bitlik”为用户名活动,被指在2022年8月1日前后先做了六笔测试转账,再执行四笔主转账,共获取价值超过280万美元的代币。引渡请求称,这些资金随后在多个钱包之间流转,并被兑换成其他加密货币以掩盖来源。他的操作让漏洞暴露给了其他用户,后者随之清空了Nomad控制的一个钱包,其中托管着超过1.86亿美元的客户资金。数日后,Block归还了部分代币,并通过Telegram联系Nomad的一名高管,提出归还其余赃款,条件是对方支付漏洞发现的酬金。此后他断绝联系,公司遂转向美国执法部门。

代码漏洞不构成免罪牌

耶路撒冷地区法院于2025年7月批准引渡。Block在上诉中辩称,他的交易依靠的是Nomad自动化系统向任何用户开放的功能,且链上转账的公开记录削弱了洗钱指控。以色列最高法院驳回了这两项主张。判决书写明,法院认定,即便软件在技术上允许该操作,利用程序漏洞仍可构成非法的计算机入侵;公开可见的链上交易既不能识别钱包背后的真实身份,也不能排除掩盖资金来源的企图。最高法院院长Isaac Amit其后驳回Block要求再次开庭的申请,以色列境内的司法程序就此终结。2022年8月那次攻击几乎掏空了这座桥的全部资金,由于原始攻击所需的技术门槛极低,其他用户复制了同样的缺陷调用,实质上形成针对合约逻辑的重放攻击,Paradigm研究员Sam Sun当时称之为“一场疯狂的混战”。Nomad在事发后数日内追回约2200万美元。2025年12月,美国联邦贸易委员会就桥的运营方Illusory Systems提出和解方案,认定损失源于一次未经充分测试的软件更新,方案要求该公司向尚未获得赔付的用户返还已追回的资金。

最高法院的这一裁定影响远超Block本人。桥类攻击事件中,被告反复援引“合约本身允许这笔转账”作为抗辩,以色列法院现在为引渡目的关上了这扇门:软件允许某笔交易,并不意味着触发者可以免于入侵指控。本案同时划出了检察机关在漏洞赏金与敲诈勒索之间的界限,Block以归还资金换取报酬的提议在两级法院都未能改善他的处境。值得注意的是,1.86亿美元的损失来自跟风用户而非Block本人,美国起诉书因此只就较小的280万美元金额对其定罪。量刑结果还将取决于这280万美元最终归还了多少,公开记录尚未给出具体数字。在联邦贸易委员会和解方案仍要求赔付未获补偿用户的背景下,桥运营商一面面临刑事风险,一面承受消费者保护审查,而Block的八项联邦罪名将在加州进入审判阶段。