Israele ha estradato Alexander Block negli Stati Uniti all’alba di giovedì 29 ottobre, come ha annunciato l’Ufficio del procuratore dello Stato, secondo blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il Jerusalem Post e Decrypt. Block, cittadino israeliano e russo che prima si chiamava Alexander Gurevich, è accusato di essersi impossessato di oltre 2,8 milioni di dollari nell’attacco del 2022 al bridge Nomad. È imputato, non condannato, e l’estradizione non stabilisce nulla sulla sua colpevolezza.
Il trasferimento chiude una battaglia legale di quasi 18 mesi, iniziata con l’arresto all’aeroporto Ben Gurion nel maggio 2025. Lascia anche una sentenza che conta oltre il caso di un solo uomo. La Corte suprema israeliana ha respinto il suo ricorso a marzo, e la stampa israeliana riferisce la sua conclusione: sfruttare un difetto di programmazione può costituire un’intrusione illecita nel materiale informatico anche quando il software, sul piano tecnico, lasciava passare l’operazione.
Il passaggio di consegne è stato coordinato dal Dipartimento internazionale della procura con le unità di coordinamento operativo e di Interpol della polizia israeliana, ha scritto il Jerusalem Post. Il caso è stato seguito dall’avvocato Avi Kronenberg di quel dipartimento, secondo Calcalist.
Hacker Nomad estradato: 2,8 milioni contestati, non l’intero drenaggio
In questa vicenda viaggiano due cifre che non vanno mescolate. Gli Stati Uniti accusano Block di aver ricevuto token per oltre 2,8 milioni di dollari. La somma molto più grande è uscita da Nomad, un bridge cross-chain, attraverso altre persone. Stando ai fatti riportati nella sentenza della Corte suprema, la richiesta americana sostiene che le sue operazioni abbiano messo in luce il difetto e che altri abbiano poi drenato oltre 186 milioni di dollari da un wallet che custodiva i fondi degli utenti. La sentenza e le cronache sul trasferimento non dicono che a lui venga contestato anche questo drenaggio successivo.
| Cifra | Che cos’è | Fonte |
|---|---|---|
| Oltre 2,8 milioni di dollari | Ciò che Block è accusato di aver ricevuto, in quattro trasferimenti principali intorno al 1° agosto 2022 (le cronache del maggio 2025 parlavano di circa 2,89 milioni) | Sentenza; Decrypt; Jerusalem Post |
| Oltre 186 milioni di dollari | Ciò che altri hanno drenato dopo che il difetto era diventato visibile; non attribuito a Block | Sentenza; Calcalist; FTC |
| Quasi 190 milioni di dollari | La cifra tonda usata per l’attacco a Nomad nelle cronache dell’epoca | Jerusalem Post, maggio 2025 |
| Circa 100 milioni di dollari | Ciò che i consumatori hanno perso al netto dei recuperi, secondo l’autorità statunitense | FTC, dicembre 2025 |
Attacco al bridge Nomad: la Corte suprema israeliana respinge «il codice lo permetteva»
I giudici Grosskopf, Kabub e Kasher hanno esaminato il ricorso il 22 gennaio 2026 e la sentenza porta la data dell’8 marzo. A quel punto la disputa si era ridotta a due condizioni dell’estradizione.
La prima era la sussistenza di una prova prima facie. La Legge israeliana sull’estradizione richiede elementi sufficienti per procedere, e la sentenza la tratta come una soglia bassa: basta una prova non priva di valore a prima vista, senza un esame approfondito del suo peso o della sua affidabilità e senza accertare che porterebbe a una condanna. La seconda era la doppia incriminazione (dual criminality). La condotta deve costituire reato anche in Israele, punibile con almeno un anno di carcere, ma i reati israeliano e americano non devono coincidere esattamente.
La difesa ha sostenuto che le chiamate usate corrispondevano a funzioni disponibili nel sistema automatico di Nomad, che la richiesta americana non gli attribuisce modifiche al codice né l’elusione di un meccanismo di sicurezza, e che un registro pubblico smentisce qualsiasi idea di occultamento. Lo Stato ha risposto che l’invio del comando sbagliato ha alterato il codice dei contratti, il che equivale a un’interruzione o a una penetrazione, e che la conversione, lo spostamento e la suddivisione dei token mostrano il tentativo di nasconderne l’origine.
Le conclusioni che seguono sono quelle riferite da Jerusalem Post, Calcalist e Decrypt il 29 e il 30 ottobre. La copia della sentenza pubblicata da Afik Law, che non è il sito della Corte, riporta lo stesso ragionamento in una traduzione inglese.
Il primo principio risponde alla tesi secondo cui il codice lo consentiva: sfruttare un difetto di programmazione può equivalere a un’intrusione illecita anche se il software permetteva tecnicamente l’azione. Calcalist riferisce che il termine «intrusione» è stato inteso in modo abbastanza ampio da coprire falle di sicurezza ed errori di programmazione. Nella sentenza la Corte paragona il caso a uno sportello automatico con un difetto di fabbricazione che eroga denaro senza carta: l’errore del produttore non rende lecito il prelievo. Richiama poi un precedente secondo cui una casa lasciata aperta resta comunque protetta, e aggiunge che chiamare un software smart contract non gli toglie la tutela giuridica.
Il secondo principio riguarda la blockchain stessa. Un registro pubblico delle transazioni non dimostra da solo chi controlla un wallet né esclude l’occultamento, quindi l’accusa di riciclaggio poteva reggere ai fini dell’estradizione. La sentenza osserva che i dettagli dei wallet sono visibili mentre i loro titolari restano nascosti, e cita dichiarazioni giurate americane secondo cui alcune conversioni non avevano alcuno scopo economico.
Tutto questo risponde a una questione di diritto israeliano, quella delle prove necessarie per estradare. Non stabilisce che cosa farebbe una giuria americana degli stessi fatti. La nostra lettura, e resta solo tale: la linea del «code is law» non ha funzionato come scudo qui, a una soglia precisa, in un solo Paese.
Dall’incriminazione del 2023 al trasferimento del 2026
Un grand jury federale del distretto settentrionale della California lo ha incriminato il 16 agosto 2023, secondo la sentenza. I capi d’imputazione sono otto: quattro di frode informatica, uno di trasporto di beni rubati e tre di riciclaggio. Decrypt e il Jerusalem Post concordano sul totale. Il Jerusalem Post ha riferito nel maggio 2025 che cinque capi comportano fino a 10 anni di carcere e 250.000 dollari di multa ciascuno, e che il riciclaggio arriva a 20 anni, il limite previsto da 18 U.S.C. 1956. Sono massimi fissati dalla legge, non una previsione sulla pena.
| Data | Passaggio |
|---|---|
| 16 agosto 2023 | Incriminazione negli Stati Uniti, California settentrionale |
| 10 dicembre 2024 | Richiesta di estradizione americana |
| 29 aprile 2025 | Cambio di cognome in Block (passaporto con il nuovo nome il 30 aprile) |
| 1° maggio 2025 | Arresto all’aeroporto Ben Gurion, mentre stava per partire per la Russia |
| 14 luglio 2025 | Il Tribunale distrettuale di Gerusalemme lo dichiara estradabile |
| 22 gennaio 2026 | Udienza davanti alla Corte suprema |
| 8 marzo 2026 | Sentenza della Corte suprema che respinge il ricorso |
| Data non riferita | Richiesta di nuova udienza respinta dal presidente della Corte suprema Isaac Amit |
| 29 ottobre 2026 | Estradizione negli Stati Uniti |
Il Jerusalem Post e Decrypt riportano il rifiuto di Amit senza datarlo. I dettagli sul cambio di nome e sul volo vengono dal resoconto del Jerusalem Post del maggio 2025, e l’arresto in aeroporto con il nuovo cognome è ripreso nelle cronache di questa settimana.
Il Dipartimento di Giustizia americano aveva annunciato un’altra estradizione il 23 ottobre, quella di Zheng Zhao dai Paesi Bassi, in un caso separato e senza legami con Nomad.
Che cosa sostengono i pubblici ministeri americani sull’agosto 2022
Tutto ciò che segue in questa sezione è un’accusa, tratta dalla richiesta americana come riassunta nella sentenza e dalla stampa israeliana. Nulla è stato verificato in un processo.
Un aggiornamento software di Nomad nel giugno 2022 ha lasciato un difetto, dice la sentenza: chiamare una funzione del contratto, process(), invece di proveAndProcess(), permetteva a un utente di ricevere token su una catena senza che i fondi corrispondenti fossero bloccati. Calcalist riferisce che, secondo la richiesta americana, Block avrebbe scoperto il problema a fine luglio 2022 e modificato il codice che verifica il blocco degli asset. La sua difesa ha detto alla Corte suprema che la richiesta non contiene alcuna accusa di modifica del codice.
Con il nome utente «Bitlik» avrebbe fatto sei trasferimenti di prova, depositando nello stesso momento fondi nel wallet di Nomad perché il difetto passasse inosservato, poi quattro trasferimenti principali intorno al 1° agosto. Secondo i pubblici ministeri ha convertito i token in altre criptovalute e li ha spostati tra più wallet per nasconderne la provenienza.
Il seguito presunto è il punto in cui il caso tocca i bug bounty. Dopo qualche giorno avrebbe restituito una parte dei token, contattato su Telegram un alto dirigente di Nomad e offerto di rendere il resto in cambio di un compenso per aver trovato il bug, prima di smettere di rispondere. Nomad si è rivolta alle forze dell’ordine americane, riferiscono Calcalist e Decrypt.
Il Jerusalem Post ha fornito più dettagli nel maggio 2025, citando la richiesta di estradizione americana. Il primo contatto, il 4 agosto 2022, è avvenuto con il direttore tecnico James Prestwich e sotto falsa identità. Block avrebbe detto di aver inviato circa 162.000 dollari a un wallet di recupero allestito da Nomad e chiesto una ricompensa di 500.000 dollari, e Prestwich avrebbe risposto che Nomad avrebbe pagato il 10% del valore di quanto era stato sottratto. Sono affermazioni della richiesta, e le cronache di questa settimana non le ripetono.
I bridge restano un bersaglio ricorrente: questa settimana un attaccante ha sottratto meno di 800.000 dollari dai contratti Ethereum di zkLink Nova. La nostra guida al funzionamento dei bridge cross-chain spiega perché i fondi bloccati stanno in un unico punto, ed è questo a rendere così costoso un errore di controllo.
Nomad davanti alla FTC: il procedimento contro la società
La società dietro il bridge ha affrontato un procedimento americano a sé. Il 16 dicembre 2025 la Federal Trade Commission ha annunciato una proposta di consent order contro Illusory Systems, con sede nello Utah e attiva con il marchio Nomad, con voto 2 a 0. Secondo la FTC, le promesse di «sicurezza prima di tutto» non erano rispettate, un codice testato in modo insufficiente è andato in produzione nel giugno 2022 ed è stato sfruttato poco più di un mese dopo, e la lentezza della risposta ha aggravato le perdite.
L’ordine vieterebbe dichiarazioni false sulla sicurezza, imporrebbe un programma di sicurezza delle informazioni con valutazioni indipendenti ogni due anni e obbligherebbe a restituire il denaro recuperato e non ancora reso. Una volta definitivo, ogni violazione potrebbe costare fino a 51.744 dollari. I commenti pubblici si sono chiusi il 20 gennaio 2026, secondo il Federal Register. Il testo annunciato resta quindi una proposta, e il suo stato attuale non è confermato.
Estradizione di Block: quale sarà il prossimo passo negli Stati Uniti
Le cronache sul trasferimento poggiano sull’annuncio della procura israeliana. La data della prima udienza americana non è stata resa nota, e lo stesso vale per l’eventuale lettura delle accuse, per una dichiarazione di colpevolezza o innocenza, per le misure di custodia e per il giudice assegnato. Le ragioni della difesa note finora sono quelle registrate nei procedimenti israeliani.
Block è presunto innocente, e in un eventuale processo americano l’onere della prova spetterebbe all’accusa. Il passo da seguire è la prima comparizione nel distretto settentrionale della California, dove è stata depositata l’incriminazione.