以色列因涉嫌利用 Nomad 橋漏洞，將 Alexander Block 引渡至美國

目錄

• 你可能想知道
• Nomad 橋漏洞指控與引渡
• 最高法院裁決
• 重點摘要表
• 後續發展……

你可能想知道

• Alexander Block 為何被引渡至美國？據稱他在 Nomad 橋漏洞利用事件中扮演什麼角色？
• 以色列最高法院如何評估「透過軟體功能執行的交易，不應算作非法電腦入侵」這項主張？

Nomad 橋漏洞指控與引渡

以色列已將 Alexander Block 引渡至美國，讓他面臨與 2022 年涉嫌從 Nomad 加密貨幣橋盜取約 $2.8 million 有關的指控。據《耶路撒冷郵報》報導，以色列國家檢察官辦公室於週四宣布移交事宜。Block 原名 Alexander Gurevich，在以色列的上訴失敗後，於該週四清晨被移交給美國當局。

本案涉及 Nomad 智慧合約中的漏洞；智慧合約是支援區塊鏈之間轉帳的軟體。根據以色列最高法院判決所載的美國引渡請求，2022 年 6 月的一次軟體更新留下漏洞，可能讓使用者在未於另一條區塊鏈鎖定等值資產的情況下，於一條區塊鏈上取得代幣。據稱，這項弱點影響了系統確保跨鏈轉帳有足額資產支撐的能力。

美國檢察官指控，Block 使用「Bitlik」這個使用者名稱測試漏洞，隨後利用該漏洞。引渡請求指出，他先進行了六次測試轉帳，之後於 2022 年 8 月 1 日前後進行四筆主要轉帳，取得價值超過 $2.8 million 的代幣。據稱，他將代幣經由數個錢包轉移，並兌換成其他加密貨幣；檢察官表示，此舉是為了掩飾代幣來源。

據稱，這些行為也讓其他 Nomad 使用者注意到該漏洞。檢察官表示，後續使用者利用同一弱點，掏空一個由 Nomad 控制、持有超過 $186 million 使用者資金的錢包。這筆較大的損失是本案背景的一部分，但與 Block 被控取走的約 $2.8 million 是不同的金額。

事件發生幾天後，Block 據稱歸還了部分代幣，並透過 Telegram 聯絡 Nomad 一名高階主管。根據引渡請求，他提出歸還其餘代幣，以換取發現漏洞的報酬。之後他中斷聯絡，Nomad 隨後將此事通報美國執法部門。

加州北區聯邦大陪審團於 2023 年 8 月起訴 Block。以色列最高法院判決列出的罪名包括四項電腦詐欺、一項運輸贓物，以及三項洗錢罪。美國於 2024 年 12 月提出引渡請求。

Block 於 2025 年 5 月在以色列本古里安機場遭到逮捕，當時他正準備飛往俄羅斯。報導指出，這發生在他更改姓氏並以新姓名取得護照後不久。耶路撒冷地方法院於 2025 年 7 月批准引渡。他隨後向以色列最高法院提出上訴，但法院駁回了他的主張。

核心法律問題在於，若 Nomad 軟體中的某項功能因程式設計缺陷而產生特定結果，使用該功能是否仍可能構成非法電腦入侵。因此，本案提出的問題不只涉及涉嫌盜取的金額，也考驗法律制度如何區分軟體的授權使用，與利用其設計或實作缺陷的行為。

最高法院裁決

上訴時，Block 主張相關交易是透過 Nomad 自動化系統內可使用的功能執行。他也辯稱，區塊鏈轉帳的公開紀錄削弱了洗錢指控。在他看來，系統已處理這些轉帳，而區塊鏈的透明特性也讓掩飾資金來源的指控值得懷疑。

據《耶路撒冷郵報》報導，最高法院駁回了這兩項主張。法院認為，即使軟體在技術上允許某項操作，利用程式設計缺陷仍可能構成非法電腦入侵。換言之，系統接受或處理交易這件事本身，並不能決定相關行為是否合法。法院認為，漏洞的性質及其據稱遭利用的方式，都是評估時的相關因素。

法院也認為，區塊鏈交易公開可見，不一定能揭示相關錢包由誰控制；僅憑交易可見，也不能排除有人試圖掩飾資金來源或流向。因此，判決將交易紀錄的透明度視為一項因素，但認為它不會自動推翻洗錢指控。

上訴遭駁回後，依據國家檢察官辦公室的說法，最高法院院長 Isaac Amit 也駁回了 Block 提出進一步審理的請求。所有這些挑戰均告失敗後，以色列將 Block 移交給美國當局，讓他面對相關指控。引渡並不代表判定有罪：相關指控將依美國法律程序處理，檢方必須在程序中證明其主張。

事件發生於 2022 年 8 月，損失的規模與速度很快便引起關注。這次漏洞利用幾乎掏空 Nomad 的所有資金。由於複製原始攻擊所需的技術知識不多，Paradigm 研究員 Sam Sun 將後續情況比喻為「一場瘋狂的無規則混戰」，Decrypt 當時如此報導。這個說法反映出，一旦漏洞利用方式曝光，最初的漏洞可能迅速蔓延至其他人手中。

事件的後續影響並未隨刑事訴訟結束。2025 年 12 月，聯邦貿易委員會提議與 Nomad 營運商 Illusory Systems 達成和解。FTC 表示，駭客利用一次測試不足的軟體更新後，該橋損失了 $186 million。根據擬議和解，該公司必須將追回的資金退還給尚未獲得補償的使用者。駭客事件發生後的幾天內，Nomad 追回了約 $22 million。

這些進展涉及不同層面的責任追究。刑事案件涉及對個人的指控，以及電腦詐欺與洗錢法律的適用；FTC 擬議的和解則涉及營運商的做法，以及將追回資金返還給受影響使用者。評估責任、法律認定及可能的補救措施時，區分這些程序十分重要。

重點摘要表

後續發展……

Nomad 案顯示，軟體漏洞可能引發法律問題，而系統是否接受交易並不足以單獨解答這些問題。開發者、營運商、調查人員與法院必須考量系統的預期行為、具體缺陷、缺陷的使用方式，以及哪些證據能將數位活動與特定人士及其意圖連結起來。隨著跨鏈服務日益互聯，這些問題在網路安全與金融監管領域很可能仍將十分重要。

持續投入智慧合約稽核與軟體測試，有助於在系統部署前或更新後找出缺陷。獨立程式碼審查、謹慎測試變更，以及監控異常交易模式，都是可能降低風險的做法。更明確的事件應變程序，也能在發現漏洞時協助營運商與使用者、研究人員及執法部門協調合作。

此外，仍有必要建立可靠的方法，在尊重正當法律程序並遵守現有證據限制的前提下追蹤跨鏈資產。公開帳本可以記錄轉帳，但要將錢包歸屬於特定人士，並解讀交易模式，仍需進一步分析。更成熟的做法應結合技術安全、透明治理與公平的法律標準，而不是把其中任何一項視為單獨足以解決問題。

隨著美國案件繼續進行、擬議和解程序逐步發展，外界將持續關注法院如何評估由軟體功能促成的行為，以及受影響使用者如何取得追回的資產。長期挑戰在於打造從設計上就具備韌性的數位金融系統，同時確保責任認定以證據為依據，並讓法律規則能因應新科技而保持清晰明確。