• Israel extraditó el jueves a Alexander Block a custodia estadounidense por el robo de 2022 al puente Nomad
• Según las acusaciones, Block obtuvo tokens por más de 2,8 millones de dólares con el nombre de usuario Bitlik
• Usuarios imitadores vaciaron más de 186 millones de dólares de una billetera controlada por Nomad
Detención en el aeropuerto Ben Gurion
Israel extraditó a Estados Unidos al presunto iniciador del robo de 2022 al protocolo del puente Nomad, confirmó el jueves la Fiscalía del Estado. Alexander Block, conocido anteriormente como Alexander Gurevich, pasó a custodia estadounidense a primera hora del jueves, después de que fracasaran sus apelaciones en Israel. Había sido detenido en el aeropuerto Ben Gurion en mayo de 2025 mientras esperaba para abordar un vuelo a Rusia, poco después de cambiarse el apellido y obtener un pasaporte con su nuevo nombre. En agosto de 2023, un gran jurado federal del Distrito Norte de California acusó a Block de cuatro cargos de fraude informático, un cargo de transporte de bienes robados y tres cargos de lavado de dinero. Washington presentó su solicitud de extradición en diciembre de 2024. Los fiscales alegan que una actualización de software de junio de 2022 dejó una vulnerabilidad en los contratos inteligentes de Nomad, lo que permitió a los usuarios recibir tokens en una cadena de bloques sin bloquear los activos equivalentes en otra. Nomad opera un puente entre cadenas, un servicio que mueve tokens entre cadenas de bloques. Bajo el nombre de usuario «Bitlik», Block está acusado de realizar seis transferencias de prueba antes de cuatro transferencias principales alrededor del 1 de agosto de 2022, con las que obtuvo tokens por un valor superior a 2,8 millones de dólares. Según la solicitud de extradición, los fondos pasaron luego por varias billeteras y se convirtieron en otras criptomonedas para ocultar su origen. Su actividad dejó al descubierto la vulnerabilidad para otros usuarios, que vaciaron una billetera controlada por Nomad que contenía más de 186 millones de dólares en fondos de clientes. Días después, Block devolvió algunos tokens y contactó por Telegram con un alto cargo de Nomad, ofreciéndose a devolver el resto a cambio de una recompensa por haber encontrado la vulnerabilidad. Luego cortó el contacto y la empresa recurrió a las fuerzas del orden estadounidenses.
Un precedente sobre exploits de código
El Tribunal de Distrito de Jerusalén aprobó la extradición en julio de 2025. En la apelación, Block sostuvo que sus transacciones se basaban en funciones que el sistema automatizado de Nomad ofrecía a cualquier usuario, y que el registro público de las transferencias en cadena socavaba las acusaciones de blanqueo de capitales. El Tribunal Supremo de Israel rechazó ambos argumentos. Según consta en su sentencia, el tribunal determinó que explotar un fallo de programación puede constituir una intrusión informática ilícita, aunque el software permitiera técnicamente la acción, y que las transacciones visibles públicamente no identifican a las personas detrás de las billeteras ni descartan intentos de ocultar el origen de los fondos. La resolución se dictó tras examinar la solicitud de extradición de Estados Unidos, que detallaba el patrón de transferencias y los cargos en su totalidad. El presidente del Tribunal Supremo, Isaac Amit, denegó posteriormente la solicitud de Block de celebrar una nueva vista, lo que pone fin a la fase israelí del caso. El exploit de agosto de 2022 despojó al puente de casi todos sus fondos y, como el ataque original requería pocas habilidades técnicas, otros usuarios copiaron la misma llamada defectuosa; en efecto, fue un ataque de repetición contra la lógica del contrato, una oleada que el investigador de Paradigm Sam Sun describió entonces como «un frenesí sin reglas». Nomad recuperó alrededor de 22 millones de dólares en los días posteriores al incidente. En diciembre de 2025, la Comisión Federal de Comercio propuso un acuerdo con Illusory Systems, operador del puente, y concluyó que la pérdida se debió a una actualización de software probada de forma deficiente. El acuerdo propuesto exigiría a la empresa devolver los fondos recuperados a los usuarios que aún no hayan recibido el reembolso.
El fallo del Tribunal Supremo va más allá de un solo acusado. Los exploits de puentes han girado repetidamente en torno a la defensa de que el propio contrato permitía la transferencia, y el tribunal israelí ha cerrado ahora esa puerta a efectos de extradición: que un software permita una transacción no exime de cargos por intrusión a quien la activa. El caso también muestra dónde trazan los fiscales la línea entre una recompensa por detectar errores y la extorsión, ya que la oferta de Block de devolver los fondos a cambio de un pago no mejoró su situación ante ninguno de los dos tribunales. La pérdida de 186 millones de dólares se debió a usuarios que imitaron el ataque, no al propio Block; una distinción que la acusación estadounidense mantiene al imputarle la suma menor de 2,8 millones de dólares. La pena que se imponga también dependería de cuánto de esos 2,8 millones se devolvió finalmente, una cifra que no se ha detallado en el registro público. Mientras el acuerdo con la FTC sigue exigiendo el reembolso a los usuarios que aún no han recibido el suyo, los operadores de puentes afrontan tanto posibles consecuencias penales como el escrutinio en materia de protección al consumidor, y los ocho cargos federales de Estados Unidos se encaminan ahora a juicio en California.