이스라엘이 Nomad 크로스 체인 브리지 공격 용의자를 미국으로 송환하다

Decrypt에 따르면, 이스라엘 국가 검찰청은 목요일에 이스라엘과 러시아 이중 국적을 가진 Alexander Block(본명 Alexander Gurevich)을 미국으로 송환했다고 발표했다. 그는 2022년 크로스체인 브리지 Nomad에서 약 280만 달러의 자산을 훔친 혐의를 받고 있다.

Block은 이스라엘에서 여러 차례 항소에 실패한 후 이날 새벽 미국 측에 인도되었다. 그는 2025년 5월 러시아로 가기 위해 준비하던 중 텔아비브 벤구리온 공항에서 체포되었으며, 그 직전에 성을 변경하고 새 이름으로 여권을 취득한 상태였다.

이스라엘 대법원 판결문에 따르면, 미국 측의 송환 요청에 따라 캘리포니아 북부 연방 대배심은 2023년 8월 Block에 대해 네 건의 컴퓨터 사기, 한 건의 운반 절도 및 세 건의 자금 세탁 혐의를 제기했으며, 미국 측은 2024년 12월 공식적으로 송환 요청을 했다.

검찰은 Nomad 스마트 계약이 2022년 6월 소프트웨어 업데이트 후 취약점을 남겨두어 사용자가 다른 체인에 동등한 자산을 잠그지 않고도 한 체인에서 토큰을 얻을 수 있게 했다고 주장했다. Block은 "Bitlik"이라는 사용자 이름으로 먼저 여섯 건의 테스트 송금을 진행한 후, 2022년 8월 1일 전후로 네 건의 주요 송금을 완료하여 280만 달러 이상의 가치가 있는 토큰을 획득하고 여러 지갑을 통해 자금을 이동시키고 다른 암호화폐로 교환하여 자금 출처를 숨겼다.

미국 측의 주장에 따르면, 그의 조작은 해당 취약점을 드러냈고, 이후 다른 사용자들은 Nomad가 통제하는 지갑에서 1억 8600만 달러 이상의 사용자 자금을 거의 모두 인출했다. 며칠 후 Block은 일부 토큰을 반환하고 Telegram을 통해 Nomad 경영진과 연락하여 취약점 보상금을 조건으로 나머지 자산을 반환하겠다고 제안했으나, 이후 연락이 끊겼고 Nomad는 미국 법 집행 기관에 신고했다. Block은 관련 거래가 Nomad 자동화 시스템이 제공하는 기능을 사용했으며, 체인 상의 송금은 공개적으로 볼 수 있어 자금 세탁에 해당하지 않는다고 주장했다.

이스라엘 대법원은 이 두 가지 주장을 기각하고, 비록 소프트웨어가 기술적으로 해당 조작을 허용하더라도 프로그래밍 취약점을 이용한 것은 여전히 불법적인 컴퓨터 시스템 침입에 해당하며, 공개적으로 볼 수 있는 거래가 반드시 지갑 뒤의 실제 소유자를 식별할 수 있는 것은 아니라고 판단했다.

2025년 12월, 미국 연방 거래 위원회는 Nomad 운영사 Illusory Systems에 대해 합의안을 제시했으며, 해당 크로스체인 브리지가 테스트 부족으로 인해 1억 8600만 달러의 손실을 입었다고 주장하고, 합의 요구 사항으로는 회수된 자금을 아직 보상을 받지 못한 사용자에게 반환할 것을 요구했다. Nomad는 공격 발생 후 며칠 내에 약 2200만 달러를 회수했다.