• Israel hat Alexander Block am Donnerstag wegen des Diebstahls bei der Nomad-Bridge im Jahr 2022 in US-Gewahrsam überstellt

• Block soll unter dem Benutzernamen Bitlik Token im Wert von mehr als 2,8 Millionen US-Dollar erbeutet haben

• Nachahmer plünderten eine von Nomad kontrollierte Wallet und erbeuteten mehr als 186 Millionen US-Dollar

Festnahme am Flughafen Ben Gurion

Israel hat den mutmaßlichen Initiator des Diebstahls beim Nomad-Bridge-Protokoll im Jahr 2022 an die Vereinigten Staaten ausgeliefert, wie die israelische Staatsanwaltschaft am Donnerstag bestätigte. Alexander Block, früher bekannt als Alexander Gurevich, wurde am frühen Donnerstag in US-Gewahrsam überstellt, nachdem seine Rechtsmittel in Israel gescheitert waren. Er war im Mai 2025 am Flughafen Ben Gurion festgenommen worden, als er auf einen Flug nach Russland wartete – kurz nachdem er seinen Nachnamen geändert und einen Pass auf seinen neuen Namen erhalten hatte. Eine Grand Jury des Bundes im nördlichen Bezirk von Kalifornien erhob im August 2023 Anklage gegen Block in vier Fällen von Computerbetrug, einem Fall des Transports gestohlener Güter und drei Fällen von Geldwäsche. Washington stellte im Dezember 2024 den Auslieferungsantrag. Die Staatsanwaltschaft wirft Block vor, dass ein Software-Update im Juni 2022 eine Schwachstelle in den Smart Contracts von Nomad hinterlassen habe, die es Nutzern ermöglichte, Token auf einer Blockchain zu erhalten, ohne die entsprechenden Vermögenswerte auf einer anderen Blockchain zu sperren. Nomad betreibt eine Cross-Chain-Bridge, einen Dienst, der Token zwischen Blockchains überträgt. Unter dem Benutzernamen „Bitlik“ soll Block sechs Testüberweisungen und anschließend um den 1. August 2022 vier Hauptüberweisungen ausgeführt und Token im Wert von mehr als 2,8 Millionen US-Dollar erbeutet haben. Die Gelder wurden anschließend über mehrere Wallets verschoben und in andere Kryptowährungen umgewandelt, um ihre Herkunft zu verschleiern, heißt es im Auslieferungsantrag. Seine Aktivitäten machten andere Nutzer auf die Schwachstelle aufmerksam. Diese plünderten eine von Nomad kontrollierte Wallet, in der sich Kundengelder im Wert von mehr als 186 Millionen US-Dollar befanden. Einige Tage später gab Block einen Teil der Token zurück und kontaktierte einen hochrangigen Nomad-Vertreter über Telegram. Er bot an, den Rest gegen eine Bezahlung für das Aufspüren der Schwachstelle zurückzugeben. Anschließend brach er den Kontakt ab, woraufhin sich das Unternehmen an die US-Strafverfolgungsbehörden wandte.

Ein Präzedenzfall für Code-Exploits

Das Bezirksgericht Jerusalem genehmigte die Auslieferung im Juli 2025. Im Berufungsverfahren argumentierte Block, seine Transaktionen hätten Funktionen genutzt, die Nomads automatisiertes System jedem Nutzer anbot, und die öffentlich einsehbaren On-Chain-Überweisungen sprächen gegen die Geldwäschevorwürfe. Israels Oberster Gerichtshof wies beide Argumente zurück. Wie im Urteil festgehalten, befand das Gericht, dass die Ausnutzung eines Programmierfehlers eine rechtswidrige Infiltration eines Computersystems darstellen kann, selbst wenn die Software die Handlung technisch zuließ. Außerdem identifizieren öffentlich sichtbare Transaktionen nicht die Personen hinter den Wallets und schließen Versuche, die Herkunft der Gelder zu verschleiern, nicht aus. Dem Urteil ging eine Prüfung des US-Auslieferungsantrags voraus, in dem das Überweisungsmuster und die Anklagepunkte ausführlich dargelegt wurden. Der Präsident des Obersten Gerichtshofs, Isaac Amit, lehnte Blocks Antrag auf eine weitere Anhörung später ab und beendete damit die israelische Phase des Verfahrens. Der Exploit vom August 2022 entzog der Bridge fast alle ihre Gelder. Da der ursprüngliche Angriff nur geringe technische Kenntnisse erforderte, kopierten andere Nutzer denselben fehlerhaften Aufruf – im Grunde ein Replay-Angriff auf die Vertragslogik. Die Welle wurde vom Paradigm-Forscher Sam Sun damals als „ein hektisches Hauen und Stechen“ beschrieben. Nomad konnte in den Tagen nach dem Vorfall etwa 22 Millionen US-Dollar zurückerlangen. Im Dezember 2025 schlug die Federal Trade Commission einen Vergleich mit Illusory Systems, dem Betreiber der Bridge, vor und kam zu dem Schluss, dass der Verlust auf ein unzureichend getestetes Software-Update zurückzuführen war. Die vorgeschlagene Einigung würde das Unternehmen verpflichten, zurückerlangte Gelder an Nutzer zurückzuzahlen, die noch nicht entschädigt wurden.

Die Entscheidung des Obersten Gerichtshofs reicht über den Fall eines einzelnen Angeklagten hinaus. Bei Bridge-Exploits wurde wiederholt zu ihrer Verteidigung angeführt, dass der Vertrag selbst die Überweisung zugelassen habe. Das israelische Gericht hat dieser Argumentation nun für Auslieferungszwecke einen Riegel vorgeschoben: Eine Software, die eine Transaktion zulässt, schützt die Person, die sie auslöst, nicht vor dem Vorwurf des unbefugten Eindringens. Der Fall zeigt auch, wo die Staatsanwaltschaft die Grenze zwischen einer Bug-Bounty und Erpressung zieht, denn Blocks Angebot, die Gelder gegen Bezahlung zurückzugeben, verbesserte seine Position vor keinem der beiden Gerichte. Der Verlust von 186 Millionen US-Dollar ging auf Nachahmer zurück, nicht auf Block selbst – eine Unterscheidung, die die US-Anklage berücksichtigt, indem sie ihm lediglich den Betrag von 2,8 Millionen US-Dollar zur Last legt. Auch ein mögliches Strafmaß würde davon abhängen, wie viel von den 2,8 Millionen US-Dollar letztlich zurückgegeben wurde; die öffentlich zugänglichen Unterlagen nennen dazu keine genaue Zahl. Da der FTC-Vergleich weiterhin eine Rückerstattung an noch nicht entschädigte Nutzer vorsieht, sind Bridge-Betreiber einerseits strafrechtlichen Risiken und andererseits der Kontrolle durch Verbraucherschutzbehörden ausgesetzt. Die acht Anklagepunkte in den USA gehen nun in Kalifornien vor Gericht.