以色列因涉嫌利用 Nomad 桥漏洞，将 Alexander Block 引渡至美国

目录

• 你可能想知道
• Nomad 桥漏洞指控与引渡
• 最高法院裁决
• 重点摘要表
• 后续发展……

你可能想知道

• Alexander Block 为何被引渡至美国？据称他在 Nomad 桥漏洞利用事件中扮演什么角色？
• 以色列最高法院如何评估“通过软件功能执行的交易，不应算作非法计算机入侵”这一主张？

Nomad 桥漏洞指控与引渡

以色列已将 Alexander Block 引渡至美国，让他面临与 2022 年涉嫌从 Nomad 加密货币桥盗取约 $2.8 million 有关的指控。据《耶路撒冷邮报》报道，以色列国家检察官办公室于周四宣布移交事宜。Block 原名 Alexander Gurevich，在以色列的上诉失败后，于该周四清晨被移交给美国当局。

本案涉及 Nomad 智能合约中的漏洞；智能合约是支持区块链之间转账的软件。根据以色列最高法院判决所载的美国引渡请求，2022 年 6 月的一次软件更新留下漏洞，可能让用户在未于另一条区块链锁定等值资产的情况下，于一条区块链上取得代币。据称，这一弱点影响了系统确保跨链转账有足额资产支持的能力。

美国检察官指控，Block 使用“Bitlik”这个用户名测试漏洞，随后利用该漏洞。引渡请求指出，他先进行了六次测试转账，之后于 2022 年 8 月 1 日前后进行四笔主要转账，取得价值超过 $2.8 million 的代币。据称，他将代币经由数个钱包转移，并兑换成其他加密货币；检察官表示，此举是为了掩饰代币来源。

据称，这些行为也让其他 Nomad 用户注意到该漏洞。检察官表示，后续用户利用同一弱点，掏空一个由 Nomad 控制、持有超过 $186 million 用户资金的钱包。这笔较大的损失是本案背景的一部分，但与 Block 被控取走的约 $2.8 million 是不同的金额。

事件发生几天后，Block 据称归还了部分代币，并通过 Telegram 联系 Nomad 一名高级主管。根据引渡请求，他提出归还其余代币，以换取发现漏洞的报酬。之后他中断联系，Nomad 随后将此事通报美国执法部门。

加州北区联邦大陪审团于 2023 年 8 月起诉 Block。以色列最高法院判决列出的罪名包括四项计算机欺诈、一项运输赃物，以及三项洗钱罪。美国于 2024 年 12 月提出引渡请求。

Block 于 2025 年 5 月在以色列本古里安机场遭到逮捕，当时他正准备飞往俄罗斯。报道指出，这发生在他更改姓氏并以新姓名取得护照后不久。耶路撒冷地方法院于 2025 年 7 月批准引渡。他随后向以色列最高法院提出上诉，但法院驳回了他的主张。

核心法律问题在于，若 Nomad 软件中的某项功能因编程缺陷而产生特定结果，使用该功能是否仍可能构成非法计算机入侵。因此，本案提出的问题不只涉及涉嫌盗取的金额，也考验法律制度如何区分软件的授权使用，与利用其设计或实现缺陷的行为。

最高法院裁决

上诉时，Block 主张相关交易是通过 Nomad 自动化系统内可使用的功能执行。他还辩称，区块链转账的公开记录削弱了洗钱指控。在他看来，系统已处理这些转账，而区块链的透明特性也让掩饰资金来源的指控值得怀疑。

据《耶路撒冷邮报》报道，最高法院驳回了这两项主张。法院认为，即使软件在技术上允许某项操作，利用编程缺陷仍可能构成非法计算机入侵。换言之，系统接受或处理交易这件事本身，并不能决定相关行为是否合法。法院认为，漏洞的性质及其据称遭利用的方式，都是评估时的相关因素。

法院还认为，区块链交易公开可见，不一定能揭示相关钱包由谁控制；仅凭交易可见，也不能排除有人试图掩饰资金来源或流向。因此，判决将交易记录的透明度视为一项因素，但认为它不会自动推翻洗钱指控。

上诉遭驳回后，根据国家检察官办公室的说法，最高法院院长 Isaac Amit 也驳回了 Block 提出进一步审理的请求。所有这些挑战均告失败后，以色列将 Block 移交给美国当局，让他面对相关指控。引渡并不代表判定有罪：相关指控将依美国法律程序处理，检方必须在程序中证明其主张。

事件发生于 2022 年 8 月，损失的规模与速度很快便引起关注。这次漏洞利用几乎掏空 Nomad 的所有资金。由于复制原始攻击所需的技术知识不多，Paradigm 研究员 Sam Sun 将后续情况比喻为“一场疯狂的无规则混战”，Decrypt 当时如此报道。这个说法反映出，一旦漏洞利用方式曝光，最初的漏洞可能迅速蔓延至其他人手中。

事件的后续影响并未随着刑事诉讼结束。2025 年 12 月，联邦贸易委员会提议与 Nomad 运营商 Illusory Systems 达成和解。FTC 表示，黑客利用一次测试不足的软件更新后，该桥损失了 $186 million。根据拟议和解，该公司必须将追回的资金退还给尚未获得补偿的用户。黑客事件发生后的几天内，Nomad 追回了约 $22 million。

这些进展涉及不同层面的责任追究。刑事案件涉及对个人的指控，以及计算机欺诈与洗钱法律的适用；FTC 拟议的和解则涉及运营商的做法，以及将追回资金返还给受影响用户。评估责任、法律认定及可能的补救措施时，区分这些程序十分重要。

重点摘要表

后续发展……

Nomad 案显示，软件漏洞可能引发法律问题，而系统是否接受交易并不足以单独解答这些问题。开发者、运营商、调查人员与法院必须考虑系统的预期行为、具体缺陷、缺陷的使用方式，以及哪些证据能将数字活动与特定人士及其意图联系起来。随着跨链服务日益互联，这些问题在网络安全与金融监管领域很可能仍将十分重要。

持续投入智能合约审计与软件测试，有助于在系统部署前或更新后找出缺陷。独立代码审查、谨慎测试变更，以及监控异常交易模式，都是可能降低风险的做法。更明确的事件响应程序，也能在发现漏洞时帮助运营商与用户、研究人员及执法部门协调合作。

此外，仍有必要建立可靠的方法，在尊重正当法律程序并遵守现有证据限制的前提下追踪跨链资产。公开账本可以记录转账，但要将钱包归属于特定人士，并解读交易模式，仍需进一步分析。更成熟的做法应结合技术安全、透明治理与公平的法律标准，而不是把其中任何一项视为单独足以解决问题。

随着美国案件继续进行、拟议和解程序逐步发展，外界将持续关注法院如何评估由软件功能促成的行为，以及受影响用户如何取得追回的资产。长期挑战在于打造从设计上就具备韧性的数字金融系统，同时确保责任认定以证据为依据，并让法律规则能应对新技术而保持清晰明确。