• Israël a extradé jeudi Alexander Block vers les États-Unis pour le vol du pont Nomad en 2022

• Block aurait dérobé plus de 2,8 millions de dollars en jetons sous le pseudonyme Bitlik

• Des utilisateurs imitateurs ont vidé un portefeuille contrôlé par Nomad de plus de 186 millions de dollars

Arrestation à l’aéroport Ben Gourion

Israël a extradé vers les États-Unis le suspect d’être à l’origine du vol visant le protocole de pont Nomad en 2022, a confirmé jeudi le bureau du procureur général de l’État. Alexander Block, auparavant connu sous le nom d’Alexander Gurevich, a été remis aux autorités américaines jeudi matin après l’échec de ses recours en Israël. Il avait été arrêté à l’aéroport Ben Gourion en mai 2025 alors qu’il attendait d’embarquer sur un vol à destination de la Russie, peu après avoir changé de nom de famille et obtenu un passeport à son nouveau nom. Un grand jury fédéral du district nord de Californie a inculpé Block en août 2023 de quatre chefs de fraude informatique, d’un chef de transport de biens volés et de trois chefs de blanchiment d’argent. Washington a déposé sa demande d’extradition en décembre 2024. Les procureurs affirment qu’une mise à jour logicielle de juin 2022 a introduit une faille dans les contrats intelligents de Nomad, permettant aux utilisateurs de recevoir des jetons sur une blockchain sans verrouiller les actifs équivalents sur une autre. Nomad exploite un pont inter-chaînes, un service qui transfère des jetons entre différentes blockchains. Sous le pseudonyme « Bitlik », Block aurait effectué six transferts de test avant quatre transferts principaux autour du 1er août 2022, et aurait récupéré des jetons d’une valeur de plus de 2,8 millions de dollars. Les fonds ont ensuite transité par plusieurs portefeuilles et ont été convertis en d’autres cryptomonnaies afin d’en dissimuler l’origine, selon la demande d’extradition. Son activité a révélé la faille à d’autres utilisateurs, qui ont vidé un portefeuille contrôlé par Nomad et contenant plus de 186 millions de dollars de fonds de clients. Quelques jours plus tard, Block a restitué une partie des jetons et a contacté sur Telegram un haut responsable de Nomad, proposant de rendre le reste en échange d’une rémunération pour avoir découvert la vulnérabilité. Il a ensuite cessé tout contact, et l’entreprise s’est tournée vers les autorités américaines chargées de l’application de la loi.

Un précédent en matière d’exploitation de failles de code

Le tribunal de district de Jérusalem a approuvé l’extradition en juillet 2025. En appel, Block a soutenu que ses transactions reposaient sur des fonctions que le système automatisé de Nomad proposait à tous les utilisateurs et que les transferts inscrits publiquement sur la chaîne remettaient en cause les accusations de blanchiment d’argent. La Cour suprême d’Israël a rejeté ces deux arguments. Comme l’indique son jugement, la cour a estimé que l’exploitation d’une faille de programmation peut constituer une intrusion informatique illicite, même lorsque le logiciel autorisait techniquement l’action, et que des transactions visibles publiquement ne permettent pas d’identifier les personnes derrière les portefeuilles ni d’écarter les tentatives visant à dissimuler l’origine des fonds. Cette décision faisait suite à l’examen de la demande d’extradition des États-Unis, qui détaillait l’ensemble des transferts et des chefs d’accusation. Le président de la Cour suprême, Isaac Amit, a ensuite rejeté la demande de Block visant à obtenir une nouvelle audience, ce qui met fin à la phase israélienne de l’affaire. L’exploitation de la faille en août 2022 a dépouillé le pont de la quasi-totalité de ses fonds. Comme l’attaque initiale nécessitait peu de compétences techniques, d’autres utilisateurs ont reproduit le même appel défectueux — en pratique, une attaque par rejeu de la logique du contrat — déclenchant une vague que Sam Sun, chercheur chez Paradigm, a décrite à l’époque comme « une mêlée générale déchaînée ». Nomad a récupéré environ 22 millions de dollars dans les jours qui ont suivi l’incident. En décembre 2025, la Federal Trade Commission a proposé un accord avec Illusory Systems, l’exploitant du pont, concluant que la perte résultait d’une mise à jour logicielle insuffisamment testée. L’accord proposé obligerait l’entreprise à restituer les fonds récupérés aux utilisateurs qui n’ont pas encore été remboursés.

La décision de la Cour suprême dépasse le cas d’un seul prévenu. Les exploitations de ponts ont souvent donné lieu à l’argument selon lequel le contrat lui-même autorisait le transfert. La justice israélienne a désormais fermé cette porte dans le cadre des demandes d’extradition : le fait qu’un logiciel permette une transaction ne met pas à l’abri la personne qui la déclenche de poursuites pour intrusion informatique. L’affaire montre aussi où les procureurs tracent la frontière entre une prime à la découverte de bogues et l’extorsion, puisque l’offre de Block de restituer les fonds en échange d’un paiement n’a amélioré sa situation devant aucune des deux cours. La perte de 186 millions de dollars est due à des utilisateurs qui ont copié l’attaque, et non à Block lui-même, distinction que l’acte d’accusation américain préserve en lui imputant la somme plus modeste de 2,8 millions de dollars. Toute décision sur la peine dépendrait également de la part des 2,8 millions de dollars finalement restituée, un montant que les documents publics ne précisent pas. Alors que l’accord avec la FTC prévoit toujours le remboursement des utilisateurs non indemnisés, les exploitants de ponts doivent faire face, d’un côté, à un risque de poursuites pénales et, de l’autre, à un examen au titre de la protection des consommateurs. Les huit chefs d’accusation américains sont désormais en passe d’être jugés en Californie.