• 2022年のNomadブリッジ窃盗事件をめぐり、イスラエルは木曜日、アレクサンダー・ブロックを米国の身柄拘束下に引き渡した

• ブロックは「Bitlik」というユーザー名で、280万ドル相当を超えるトークンを取得したとされる

• 模倣犯のユーザーらが、Nomad管理下のウォレットから1億8,600万ドル超を引き出した

ベン・グリオン空港で逮捕

イスラエルの検察当局は木曜日、2022年のNomadブリッジ・プロトコル窃盗事件の首謀者とされる人物を米国に引き渡したと発表した。アレクサンダー・ブロック（旧名アレクサンダー・グレヴィッチ）は、イスラエルでの不服申し立てが退けられた後、木曜日の早朝に米国の身柄拘束下に移された。彼は2025年5月、ロシア行きの便に搭乗しようとしていたところをベン・グリオン空港で逮捕された。姓を変え、新しい名前でパスポートを取得した直後のことだった。カリフォルニア州北部地区の連邦大陪審は2023年8月、ブロックをコンピューター詐欺4件、盗品の輸送1件、マネーロンダリング3件で起訴し、米国政府は2024年12月に引き渡しを要請した。検察側は、2022年6月のソフトウェア更新でNomadのスマートコントラクトに欠陥が生じ、ユーザーが一方のブロックチェーンでトークンを受け取る一方、別のブロックチェーンでは相当額の資産をロックせずに済む状態になったと主張している。Nomadは、ブロックチェーン間でトークンを移動させるサービスであるクロスチェーンブリッジを運営している。「Bitlik」というユーザー名を使っていたブロックは、2022年8月1日ごろに4回の本格的な送金を行う前に、6回のテスト送金を実行し、280万ドル相当を超えるトークンを取得したとされる。引き渡し要請書によると、その後、資金は複数のウォレットを経由し、出所を隠すために別の暗号資産へと交換された。彼の活動によって他のユーザーにも欠陥が知られ、Nomadが管理する、顧客資金1億8,600万ドル超を保有するウォレットから資金が引き出された。数日後、ブロックは一部のトークンを返還し、脆弱性を発見した報酬と引き換えに残りも返すとTelegramでNomadの幹部に申し出た。その後、彼は連絡を絶ち、同社は米国の法執行機関に協力を求めた。

コードの脆弱性悪用をめぐる先例

エルサレム地方裁判所は2025年7月、身柄引き渡しを認めた。控訴審でブロックは、自身の取引はNomadの自動化システムがすべてのユーザーに提供していた機能を利用したものであり、オンチェーン送金の記録が公開されていることから、マネーロンダリングの疑いは成り立たないと主張した。イスラエル最高裁は、いずれの主張も退けた。判決に記されたとおり、裁判所は、ソフトウェア上は技術的に実行可能な操作であっても、プログラミング上の欠陥を悪用すれば違法なコンピューター侵入に当たり得ると判断した。また、取引が公開されていても、ウォレットの背後にいる人物が特定できるわけではなく、資金の出所を隠そうとした可能性も排除されないとした。この判断は、送金のパターンと容疑の全容を示した米国の身柄引き渡し請求を審査したうえで下された。その後、最高裁長官のアイザック・アミットはブロックの再審理請求を退け、これによりイスラエルでの手続きは終了した。2022年8月の脆弱性悪用によりブリッジの資金はほぼすべて流出した。最初の攻撃に高度な技術がほとんど必要なかったため、他のユーザーも同じ欠陥のある呼び出しを模倣し、事実上、コントラクトのロジックに対するリプレイ攻撃が相次いだ。この状況をParadigmの研究者サム・サンは当時、「熱狂的な無法状態」と表現した。Nomadは事件後数日間で約2,200万ドルを回収した。2025年12月、連邦取引委員会（FTC）はブリッジ運営会社のIllusory Systemsとの和解案を提示し、十分なテストを経ていないソフトウェア更新が損失につながったと結論づけた。この和解案では、回収した資金をまだ補償を受けていないユーザーに返還するよう同社に求めている。

最高裁の判断が及ぶ範囲は、一人の被告にとどまらない。ブリッジの脆弱性悪用では、コントラクト自体が送金を許可していたという弁護側の主張が繰り返し持ち出されてきた。しかし今回、イスラエルの裁判所は身柄引き渡しに関してその論拠を退けた。ソフトウェアが取引を許可していても、それを実行させた人物が侵入の罪に問われないわけではない。またこの事件は、バグ報奨金と恐喝の境界を検察がどこに引くのかも示している。ブロックは資金の返還と引き換えに金銭を求めたが、その申し出によって、いずれの裁判所でも立場が有利になることはなかった。1億8,600万ドルの損失をもたらしたのはブロック本人ではなく、模倣したユーザーたちだった。米国の起訴状はこの違いを反映し、ブロックに対してはより少額の280万ドル分の罪で起訴している。量刑の結果は、280万ドルのうち最終的にいくらが返還されたかにも左右されるが、その金額は公開記録では明らかにされていない。FTCとの和解案では、未払いのユーザーへの補償が引き続き求められている。ブリッジ運営者は、一方で刑事責任に問われる可能性に直面し、他方で消費者保護の観点からも監視を受けている。米国での8つの訴因をめぐる裁判は、今後カリフォルニア州で始まる。