• Israel extraditou Alexander Block para a custódia dos EUA na quinta-feira por causa do roubo à ponte Nomad em 2022

• Segundo as acusações, Block levou mais de US$ 2,8 milhões em tokens usando o nome de usuário Bitlik

• Usuários imitadores esvaziaram mais de US$ 186 milhões de uma carteira controlada pela Nomad

Detenção no Aeroporto Ben Gurion

Israel extraditou para os Estados Unidos o suposto autor do roubo de 2022 ao protocolo da ponte Nomad, confirmou na quinta-feira o Ministério Público do Estado. Alexander Block, anteriormente conhecido como Alexander Gurevich, foi transferido para a custódia dos EUA na manhã de quinta-feira, após fracassarem os recursos apresentados em Israel. Ele havia sido detido no Aeroporto Ben Gurion em maio de 2025, enquanto aguardava para embarcar num voo para a Rússia, pouco depois de mudar de sobrenome e obter um passaporte com seu novo nome. Um grande júri federal do Distrito Norte da Califórnia indiciou Block em agosto de 2023 por quatro acusações de fraude informática, uma de transporte de bens roubados e três de lavagem de dinheiro; Washington apresentou o pedido de extradição em dezembro de 2024. Os promotores alegam que uma atualização de software de junho de 2022 deixou uma falha nos contratos inteligentes da Nomad, permitindo que usuários recebessem tokens em uma blockchain sem bloquear os ativos equivalentes em outra. A Nomad opera uma ponte entre blockchains, um serviço que transfere tokens entre elas. Usando o nome de usuário “Bitlik”, Block é acusado de realizar seis transferências de teste antes de quatro transferências principais, por volta de 1º de agosto de 2022, recolhendo tokens no valor de mais de US$ 2,8 milhões. Em seguida, os fundos passaram por várias carteiras e foram convertidos em outras criptomoedas para ocultar sua origem, segundo o pedido de extradição. Sua atividade expôs a falha a outros usuários, que esvaziaram uma carteira controlada pela Nomad que continha mais de US$ 186 milhões em fundos de clientes. Dias depois, Block devolveu alguns tokens e entrou em contato com um alto funcionário da Nomad pelo Telegram, oferecendo-se para devolver o restante em troca de pagamento por ter encontrado a vulnerabilidade. Depois, interrompeu o contato, e a empresa recorreu às autoridades policiais dos EUA.

Um precedente sobre exploits de código

O Tribunal Distrital de Jerusalém aprovou a extradição em julho de 2025. Em recurso, Block argumentou que suas transações se basearam em funções que o sistema automatizado da Nomad oferecia a qualquer usuário e que o registro público das transferências on-chain enfraquecia as acusações de lavagem de dinheiro. A Suprema Corte de Israel rejeitou ambos os argumentos. Conforme registrado em sua decisão, o tribunal entendeu que explorar uma falha de programação pode constituir invasão ilegal de sistemas informáticos, mesmo quando o software tecnicamente permitiu a ação, e que transações publicamente visíveis não identificam as pessoas por trás das carteiras nem descartam tentativas de disfarçar a origem dos fundos. A decisão veio após a análise do pedido de extradição dos EUA, que descrevia integralmente o padrão das transferências e as acusações. O presidente da Suprema Corte, Isaac Amit, posteriormente negou o pedido de Block para uma nova audiência, encerrando assim a fase israelense do caso. O exploit de agosto de 2022 drenou quase todos os fundos da ponte e, como o ataque original exigia pouca habilidade técnica, outros usuários copiaram a mesma chamada defeituosa — na prática, um ataque de repetição à lógica do contrato —, numa onda que o pesquisador da Paradigm Sam Sun descreveu na época como “uma balbúrdia desenfreada”. A Nomad recuperou cerca de US$ 22 milhões nos dias seguintes ao incidente. Em dezembro de 2025, a Comissão Federal de Comércio propôs um acordo com a Illusory Systems, operadora da ponte, concluindo que a perda decorreu de uma atualização de software mal testada. O acordo proposto exigiria que a empresa devolvesse os fundos recuperados aos usuários que ainda não foram reembolsados.

A decisão da Suprema Corte vai além de um único réu. Os exploits de pontes têm se apoiado repetidamente na defesa de que o próprio contrato permitia a transferência, e o tribunal israelense agora fechou essa brecha para fins de extradição: o fato de um software permitir uma transação não isenta de acusações de invasão a pessoa que a inicia. O caso também mostra onde os promotores traçam a linha entre uma recompensa por encontrar bugs e a extorsão, já que a oferta de Block de devolver os fundos mediante pagamento não melhorou sua situação em nenhum dos tribunais. A perda de US$ 186 milhões foi causada por usuários imitadores, não pelo próprio Block, distinção que a denúncia dos EUA preserva ao acusá-lo pelo valor menor de US$ 2,8 milhões. Qualquer decisão sobre a pena também dependeria de quanto dos US$ 2,8 milhões foi devolvido no fim das contas, valor que o registro público não detalhou. Como o acordo com a FTC ainda exige o reembolso dos usuários que não receberam os valores de volta, os operadores de pontes enfrentam, de um lado, exposição criminal e, de outro, o escrutínio das autoridades de proteção ao consumidor; as oito acusações nos EUA agora seguem para julgamento na Califórnia.