• Hôm thứ Năm, Israel đã dẫn độ Alexander Block sang Mỹ liên quan đến vụ đánh cắp cầu nối Nomad năm 2022
• Block bị cáo buộc đã lấy lượng token trị giá hơn 2,8 triệu USD với tên người dùng Bitlik
• Những người dùng bắt chước đã rút cạn hơn 186 triệu USD từ một ví do Nomad kiểm soát
Bắt giữ tại Sân bay Ben Gurion
Israel đã dẫn độ người bị cáo buộc khởi xướng vụ đánh cắp giao thức cầu nối Nomad năm 2022 sang Mỹ, Văn phòng Công tố Nhà nước Israel xác nhận hôm thứ Năm. Alexander Block, trước đây được biết đến với tên Alexander Gurevich, đã được bàn giao cho giới chức Mỹ vào sáng sớm thứ Năm sau khi các đơn kháng cáo tại Israel không thành công. Block bị bắt tại Sân bay Ben Gurion vào tháng 5 năm 2025 khi đang chờ lên chuyến bay tới Nga, không lâu sau khi đổi họ và lấy hộ chiếu mang tên mới. Tháng 8 năm 2023, đại bồi thẩm đoàn liên bang tại Địa hạt Bắc California truy tố Block với bốn cáo buộc gian lận máy tính, một cáo buộc vận chuyển tài sản bị đánh cắp và ba cáo buộc rửa tiền; Washington gửi yêu cầu dẫn độ vào tháng 12 năm 2024. Các công tố viên cáo buộc rằng một bản cập nhật phần mềm vào tháng 6 năm 2022 đã tạo ra lỗ hổng trong hợp đồng thông minh của Nomad, cho phép người dùng nhận token trên một blockchain mà không cần khóa lượng tài sản tương đương trên blockchain khác. Nomad vận hành một cầu nối xuyên chuỗi, dịch vụ chuyển token giữa các blockchain. Với tên người dùng “Bitlik”, Block bị cáo buộc thực hiện sáu giao dịch chuyển thử trước khi tiến hành bốn giao dịch chính vào khoảng ngày 1 tháng 8 năm 2022, thu về lượng token trị giá hơn 2,8 triệu USD. Theo yêu cầu dẫn độ, số tiền sau đó được chuyển qua nhiều ví và đổi thành các loại tiền mã hóa khác để che giấu nguồn gốc. Hoạt động của Block khiến những người dùng khác phát hiện lỗ hổng, rồi rút cạn một ví do Nomad kiểm soát, trong đó có hơn 186 triệu USD tiền của khách hàng. Vài ngày sau, Block trả lại một phần token và liên hệ với một lãnh đạo cấp cao của Nomad trên Telegram, đề nghị hoàn trả số còn lại để đổi lấy tiền thưởng vì đã tìm ra lỗ hổng. Sau đó, Block cắt đứt liên lạc và công ty tìm đến cơ quan thực thi pháp luật Mỹ.
Tiền lệ về các vụ khai thác lỗ hổng mã nguồn
Tòa án quận Jerusalem đã chấp thuận dẫn độ vào tháng 7 năm 2025. Khi kháng cáo, Block lập luận rằng các giao dịch của mình dựa trên những chức năng mà hệ thống tự động của Nomad cung cấp cho bất kỳ người dùng nào, và hồ sơ công khai về các giao dịch chuyển tiền trên chuỗi đã làm suy yếu cáo buộc rửa tiền. Tòa án Tối cao Israel bác bỏ cả hai lập luận. Theo phán quyết, tòa nhận định rằng khai thác lỗi lập trình có thể cấu thành hành vi xâm nhập máy tính trái phép ngay cả khi phần mềm về mặt kỹ thuật cho phép thực hiện hành động đó; đồng thời, các giao dịch công khai không tiết lộ danh tính người đứng sau các ví, cũng không loại trừ khả năng có nỗ lực che giấu nguồn gốc của khoản tiền. Phán quyết được đưa ra sau khi xem xét yêu cầu dẫn độ của Mỹ, trong đó trình bày đầy đủ mô hình chuyển tiền và các cáo buộc. Sau đó, Chánh án Tòa án Tối cao Isaac Amit đã bác yêu cầu mở phiên điều trần bổ sung của Block, khép lại giai đoạn vụ án tại Israel. Vụ khai thác lỗ hổng vào tháng 8 năm 2022 đã rút gần như toàn bộ tiền khỏi cầu nối. Vì cuộc tấn công ban đầu không đòi hỏi nhiều kỹ năng kỹ thuật, những người dùng khác đã sao chép cùng một lệnh gọi có lỗi, về cơ bản là một cuộc tấn công phát lại nhắm vào logic của hợp đồng; nhà nghiên cứu Sam Sun của Paradigm khi đó mô tả làn sóng này như “một cuộc tranh giành hỗn loạn, ai nhanh tay thì được.” Nomad thu hồi được khoảng 22 triệu đô la trong những ngày sau sự cố. Vào tháng 12 năm 2025, Ủy ban Thương mại Liên bang đề xuất thỏa thuận dàn xếp với Illusory Systems, đơn vị vận hành cầu nối, kết luận rằng khoản thất thoát bắt nguồn từ một bản cập nhật phần mềm được kiểm thử chưa kỹ. Thỏa thuận được đề xuất sẽ yêu cầu công ty hoàn trả số tiền đã thu hồi cho những người dùng chưa được bồi hoàn.
Phán quyết của Tòa án Tối cao có ý nghĩa vượt ra ngoài phạm vi một bị cáo. Các vụ khai thác lỗ hổng cầu nối nhiều lần dựa vào lập luận rằng chính hợp đồng cho phép chuyển tiền; giờ đây, tòa án Israel đã khép lại cánh cửa đó trong các vụ dẫn độ: việc phần mềm cho phép một giao dịch không miễn trừ người khởi tạo giao dịch khỏi cáo buộc xâm nhập trái phép. Vụ án cũng cho thấy ranh giới mà công tố viên vạch ra giữa chương trình thưởng phát hiện lỗi và hành vi tống tiền, bởi đề nghị hoàn trả tiền để đổi lấy khoản thanh toán của Block không giúp cải thiện vị thế của anh ta trước cả hai tòa. Khoản thiệt hại 186 triệu đô la là do những người dùng bắt chước gây ra, chứ không phải chính Block; bản cáo trạng của Mỹ phản ánh sự khác biệt này khi buộc tội anh ta với khoản tiền nhỏ hơn là 2,8 triệu đô la. Bất kỳ kết quả tuyên án nào cũng sẽ phụ thuộc vào việc cuối cùng có bao nhiêu trong số 2,8 triệu đô la được hoàn trả, con số mà hồ sơ công khai chưa nêu chi tiết. Trong khi thỏa thuận dàn xếp với FTC vẫn yêu cầu bồi hoàn cho những người dùng chưa được thanh toán, các đơn vị vận hành cầu nối phải đối mặt với nguy cơ bị truy cứu hình sự ở một phía và sự giám sát về bảo vệ người tiêu dùng ở phía còn lại; tám cáo buộc tại Mỹ hiện tiến tới xét xử ở California.