Israel dẫn độ nghi phạm đánh cắp 2,8 triệu USD từ cầu nối Nomad sang Mỹ, sau phán quyết coi khai thác lỗi lập trình là xâm nhập trái phép.
Theo The Jerusalem Post, Văn phòng Tổng Công tố Nhà nước Israel hôm thứ Năm thông báo đã dẫn độ một công dân mang hai quốc tịch Israel – Nga sang Mỹ để đối mặt với cáo buộc đánh cắp khoảng 2,8 triệu USD từ cầu nối tài sản mã hóa Nomad. Alexander Block, trước đây có tên Alexander Gurevich, được chuyển giao cho nhà chức trách Mỹ vào sáng sớm cùng ngày, sau khi các nỗ lực kháng cáo tại Israel thất bại.
Block bị bắt tại sân bay Ben Gurion vào tháng 5/2025 khi đang chuẩn bị bay sang Nga, ngay sau khi đổi họ và được cấp hộ chiếu mang tên mới. Trước đó, vào tháng 8/2023, một bồi thẩm đoàn liên bang tại Khu vực Bắc California đã truy tố đối tượng với 4 tội danh gian lận máy tính, 1 tội danh vận chuyển tài sản bị đánh cắp và 3 tội danh rửa tiền. Phía Mỹ gửi yêu cầu dẫn độ vào tháng 12/2024.
Theo hồ sơ dẫn độ, một bản cập nhật phần mềm hồi tháng 6/2022 đã để lại lỗ hổng trong hợp đồng thông minh của Nomad, cho phép người dùng nhận token trên một blockchain mà không cần khóa lượng tài sản tương ứng trên chuỗi còn lại. Hoạt động dưới tên người dùng “Bitlik”, Block bị cáo buộc đã thực hiện 6 giao dịch thử trước khi tiến hành 4 giao dịch chính vào khoảng ngày 1/8/2022, thu về số token trị giá hơn 2,8 triệu USD. Số tài sản này sau đó được luân chuyển qua nhiều ví và quy đổi sang các loại tài sản mã hóa khác nhằm che giấu nguồn gốc.
Phía Mỹ cho rằng hành vi của Block đã làm lộ lỗ hổng cho những người dùng khác, dẫn tới việc một ví do Nomad kiểm soát chứa hơn 186 triệu USD tiền của người dùng bị rút cạn. Vài ngày sau, Block hoàn trả một phần token và liên hệ qua Telegram với một lãnh đạo cấp cao của Nomad, đề nghị trả phần còn lại để đổi lấy tiền thưởng phát hiện lỗ hổng. Đối tượng sau đó cắt liên lạc, và Nomad trình báo vụ việc với cơ quan thực thi pháp luật Mỹ.
Phán quyết của Tòa án Tối cao
Tòa án Quận Jerusalem chấp thuận dẫn độ vào tháng 7/2025. Trong đơn kháng cáo, Block lập luận rằng các giao dịch chỉ sử dụng những chức năng sẵn có trong hệ thống tự động của Nomad, đồng thời cho rằng việc mọi giao dịch được ghi nhận công khai trên blockchain làm suy yếu cáo buộc rửa tiền.
Tòa án Tối cao Israel bác bỏ cả hai lập luận. Theo phán quyết, việc khai thác lỗi lập trình vẫn có thể cấu thành hành vi xâm nhập máy tính trái phép, ngay cả khi phần mềm về mặt kỹ thuật cho phép thực hiện thao tác đó. Tòa cũng nhận định tính công khai của giao dịch không đồng nghĩa với việc xác định được danh tính người đứng sau các ví, cũng không loại trừ nỗ lực che giấu dòng tiền. Chánh án Isaac Amit sau đó bác yêu cầu mở thêm phiên xét xử của Block.
Vụ khai thác tháng 8/2022 đã rút cạn gần như toàn bộ tài sản của Nomad. Do việc sao chép cuộc tấn công ban đầu đòi hỏi rất ít kiến thức kỹ thuật, nhà nghiên cứu Sam Sun của Paradigm khi đó đã ví diễn biến sau đó như “một cuộc tranh giành hỗn loạn”, theo Decrypt.
Tháng 12/2025, Ủy ban Thương mại Liên bang Mỹ (FTC) đề xuất thỏa thuận dàn xếp với Illusory Systems, đơn vị vận hành Nomad, xác nhận cầu nối đã mất 186 triệu USD do một bản cập nhật không được kiểm thử đầy đủ. Theo thỏa thuận, công ty phải hoàn trả số tiền thu hồi được cho những người dùng chưa được bồi hoàn. Nomad đã thu hồi khoảng 22 triệu USD trong những ngày sau vụ tấn công.
