イスラエル、Nomadブリッジ285万ドル窃盗のBlock氏を米国へ身柄引き渡し

ベングリオン空港で逮捕

イスラエルは2022年のブリッジプロトコルNomadからの窃盗事件の首謀者とされる男を米国に身柄引き渡した。同国の検事総局が木曜日に確認した。Alexander Block氏(旧姓Alexander Gurevich)は、イスラエル国内での訴訟が尽きた後、木曜日早朝に米国当局へ引き渡された。同氏は2025年5月、姓を変更し新名義のパスポートを取得した直後、ロシア行きの便に搭乗待ちしていたベングリオン空港で逮捕されていた。カリフォルニア州北区の連邦大陪審は2023年8月、コンピューター不正アクセス4件、盗品等運搬1件、資金洗浄3件の計8件の罪でBlock氏を起訴しており、米国は2024年12月に引き渡し要請を提出していた。起訴状などによると、2022年6月のソフトウェア更新でNomadのスマートコントラクトに不具合が残され、ユーザーが一方のブロックチェーンでトークンを受け取っても、もう一方のチェーンで対応資産をロックしなくても済む状態になった。Nomadはチェーン間でトークンを移動させるクロスチェーンブリッジを運用している。「Bitlik」というユーザー名で活動していたBlock氏は、2022年8月1日ごろの本番4回の送金に先立ち6回のテスト送金を実行し、280万ドルを超える価値のトークンを獲得したとされる。引き渡し要請書によれば、資金はその後複数のウォレットを経由し、出所を隠すために他の暗号資産へ変換された。同氏の取引は不具合を他のユーザーにも晒す結果となり、顧客資金1億8,600万ドル超を預かるNomad管理のウォレットは空引きにされた。数日後、Block氏は一部のトークンを返還し、TelegramでNomadの幹部に連絡。脆弱性を発見したことへの報酬と引き換えに残額を返すと持ちかけたが、その後連絡を絶ち、同社は米国の法執行機関に通報した。

コードの悪用に関する前例

エルサレム地方裁判所は2025年7月に引き渡しを承認した。控訴審でBlock氏は、自分の取引はNomadの自動システムがすべてのユーザーに提供していた機能を使ったにすぎないこと、オンチェーンの送金記録が公開されていることから資金洗浄の嫌疑は成り立たないことと主張した。最高裁は両方の主張を退けた。判決によれば、ソフトウェアが技術的に動作を許していた場合でも、プログラムの不具合を突く行為は違法なコンピューター侵入に当たり得る。また、公開されている取引履歴はウォレットの背後にいる人物を特定しないし、資金の出所を偽装する試みの可能性も排除しない。この判断は、送金パターンと罪名を詳述した米国の引き渡し要請の審査に基づく。その後、最高裁長官のIsaac Amit氏はBlock氏の再審請求を棄却し、イスラエルでの審理は終結した。2022年8月の攻撃でブリッジからは資金のほぼすべてが流出した。元の攻撃が高度な技術を必要としなかったため、他のユーザーが同じ不具合のコールを模倣し、事実上コントラクトロジックへのリプレイ攻撃が発生。当時Paradigmの研究者Sam Sun氏はこれを「狂乱の山海の宴」と評した。Nomadは事件後数日で約2,200万ドルを回収した。2025年12月、連邦取引委員会(FTC)は運営会社Illusory Systemsとの和解案を提示し、損失の原因は十分なテストをしていないソフトウェア更新にあると結論づけた。和解案では、まだ補償を受けていないユーザーへの回収済み資金の返還が義務づけられる。

最高裁の判断は、被告1人の枠を超える意味を持つ。ブリッジへの攻撃では「コントラクト自体が送金を許していた」という弁護が繰り返し使われてきたが、イスラエルの司法は今回、引き渡しの文脈でその道を閉じた。取引を許すソフトウェアは、それを突いた人物を不正侵入の罪から免罪しない。同事件は、バグ報奨金と恐喝の境界を検察がどこに引くかも示した。報酬と引き換えに資金を返すというBlock氏の提案は、いずれの裁判でも情状に寄与しなかった。1億8,600万ドルの損失はBlock氏自身ではなく模倣したユーザーがもたらしたものであり、米起訴状はこの区別を保ち、彼にはより小さい280万ドルの分のみを問う。量刑がどうなるかは、280万ドルのうち最終的にいくら返還されたかにも左右されるが、公的記録はこの点を明示していない。FTCの和解が未補償ユーザーへの返済を依然として求める中、ブリッジ運営者は刑事責任と消費者保護規制の両面に晒されることになり、米国の8件の容疑はカリフォルニアでの裁判へ進む。