ישראל הסגירה את החשוד בפריצת Nomad, והעליון קבע שניצול באג בקוד יכול להיות חדירה למחשב

ישראל הסגירה לארצות הברית ביום חמישי את אלכסנדר בלוק, שנודע בעבר בשם אלכסנדר גורביץ', אזרח ישראלי ורוסי שחשוד בגניבת כ־2.8 מיליון דולר מגשר הקריפטו Nomad בקיץ 2022. כך הודיעה פרקליטות המדינה, לפי דיווח ב־Jerusalem Post שצוטט ב־Decrypt. ההסגרה עצמה היא סוף של הליך שנמשך יותר משנה בבתי המשפט בישראל. הפסיקה שנלוותה אליה עשויה להשפיע הרבה מעבר לתיק הזה.

בית המשפט העליון דחה את הערעור של בלוק וקבע שניצול של פגם תכנותי יכול להיחשב חדירה בלתי חוקית למחשב, גם כשהתוכנה עצמה איפשרה את הפעולה מבחינה טכנית. זו התשובה של מערכת המשפט הישראלית לטענה הוותיקה בעולם הקריפטו שלפיה "הקוד הוא החוק", כלומר שכל מה שחוזה חכם מאפשר לעשות הוא מותר.

איך התרוקן הגשר של Nomad

Nomad היה גשר בין רשתות: שירות שמאפשר להעביר טוקנים מבלוקצ'יין אחד לאחר. בדרך כלל זה עובד כך שהמשתמש נועל נכס ברשת המקור, והגשר מנפיק לו נכס מקביל ברשת היעד. לפי בקשת ההסגרה האמריקאית, כפי שהיא מופיעה בפסק הדין של העליון, עדכון תוכנה מיוני 2022 השאיר בחוזים החכמים של Nomad פגם שאיפשר לקבל טוקנים ברשת אחת בלי לנעול את הנכסים המקבילים ברשת השנייה.

בלוק, שפעל תחת שם המשתמש "Bitlik", ביצע לפי הטענה שש העברות ניסיון ואחריהן ארבע העברות עיקריות, בסביבות 1 באוגוסט 2022, וקיבל טוקנים בשווי של יותר מ־2.8 מיליון דולר. לאחר מכן, כך נטען, הוא העביר אותם בין כמה ארנקים והמיר אותם למטבעות אחרים כדי להסתיר את מקורם.

החלק החמור יותר בסיפור קרה אחר כך. הפעולות שלו חשפו את הפגם לשאר המשתמשים, וההעתקה הייתה פשוטה. משתמשים אחרים רוקנו ארנק של Nomad שהחזיק יותר מ־186 מיליון דולר מכספי לקוחות. החוקר סם סאן מ־Paradigm תיאר אז את מה שקרה כ"מהומה של כל דאלים גבר", כפי שדיווח Decrypt באותה תקופה. Nomad הצליחה להשיב כ־22 מיליון דולר בימים שאחרי הפריצה.

כמה ימים אחרי האירוע, לפי בקשת ההסגרה, בלוק החזיר חלק מהטוקנים ופנה לבכיר ב־Nomad בטלגרם. הוא הציע להחזיר את השאר תמורת תשלום על מציאת הפגם. בהמשך הוא ניתק את הקשר, ו־Nomad פנתה לרשויות האכיפה בארה״ב.

ציר הזמן של התיק

לפי Cointelegraph, בלוק נכנס לישראל באפריל 2025 ונדרש להתייצב לדיון בהסגרה. הוא לא התייצב, ושינה את שמו במרשם האוכלוסין. הוא נעצר בשדה התעופה בן גוריון ממש לפני העלייה לטיסה לרוסיה, זמן קצר אחרי שהוציא דרכון בשמו החדש.

שתי הטענות שהעליון דחה

בערעור טען בלוק שתי טענות עיקריות. הראשונה, שהעסקאות השתמשו בפונקציות שהיו זמינות במערכת האוטומטית של Nomad. אם המערכת אישרה את ההעברה, הוא לא חדר לשום מקום. השנייה, שכל ההעברות רשומות בגלוי על הבלוקצ'יין, ולכן קשה לטעון שהוא ניסה להסתיר את מקור הכספים, וזה בסיס האישומים בהלבנת הון.

העליון דחה את שתיהן. לגבי הראשונה, הוא קבע שניצול פגם תכנותי יכול להיות חדירה בלתי חוקית למחשב גם כשהתוכנה התירה את הפעולה. לגבי השנייה, הוא קבע שעסקאות גלויות לציבור לא בהכרח מזהות את האנשים שמאחורי הארנקים, ולא שוללות ניסיון להסתיר מאיפה הגיע הכסף. נשיא בית המשפט העליון יצחק עמית דחה בהמשך את בקשתו של בלוק לדיון נוסף, לפי פרקליטות המדינה.

הטענה השנייה מוכרת היטב למי שעוקב אחרי פריצות קריפטו. גם בפריצה האחרונה לבייננס, ה־FBI והחברות לניתוח בלוקצ'יין עוקבים אחרי הכסף בזמן אמת, והתוקפים ממשיכים להעביר אותו דרך גשרים ומטבעות אחרים. השקיפות של הרשת לא מונעת הלבנה, והעליון אמר את זה במפורש.

מה עומד מולו בארה״ב

כתב האישום שהגיש חבר מושבעים פדרלי במחוז הצפוני של קליפורניה כולל ארבעה סעיפים של הונאת מחשב, סעיף אחד של העברת רכוש גנוב ושלושה סעיפים של הלבנת הון. לפי Cointelegraph, סעיפי הלבנת ההון לבדם נושאים עונש מרבי של 20 שנות מאסר, חמור משמעותית ממה שהיה צפוי לו בישראל.

זה גם לא התיק הראשון שבו ישראל מסגירה חשוד בעבירות סייבר לארה״ב. ב־2019 הוסגר מישראל ההאקר הרוסי אלכסיי בורקוב, אחרי שגם אז דחה בית המשפט העליון את ערעורו. ההבדל הוא שבורקוב לא היה אזרח ישראלי, ובלוק כן.

שאלות ותשובות למי שמתעסק בקוד ובחוזים חכמים

אם מצאתי באג בחוזה חכם ומשכתי ממנו כסף, האם זו עבירה בישראל?

לפי הפסיקה הזו, ייתכן מאוד. העליון קבע שהעובדה שהקוד איפשר את הפעולה אינה הגנה. ההחלטה ניתנה במסגרת הליך הסגרה, שבו בית המשפט בודק אם יש בסיס לאישום ולא מכריע באשמה, אבל הקביעה העקרונית כבר כתובה.

מה ההבדל בין זה לבין צייד באגים לגיטימי?

ברוב פרויקטי ה־DeFi יש תוכנית תגמולים מסודרת: מדווחים על הפגם לצוות, בלי להוציא כסף, ומקבלים תשלום לפי הכללים שפורסמו. בתיק הזה, לפי הטענה, הכסף נמשך קודם, עבר בין ארנקים והומר, ורק אחר כך הגיעה ההצעה להחזיר אותו תמורת תשלום. בדרך הזו בדיוק נבנה תיק פלילי.

האם משתמשים שנפגעו מ־Nomad יקבלו את כספם?

ההסדר שה־FTC הציע בדצמבר 2025 עם Illusory Systems יחייב את החברה להחזיר כספים שהושבו למשתמשים שעדיין לא קיבלו פיצוי. מתוך 186 מיליון הדולר שאבדו, הושבו כ־22 מיליון בימים הראשונים.

האם זה משנה משהו למשקיע ישראלי רגיל?

באופן ישיר, לא הרבה. בעקיפין, הפסיקה מחזקת את ההגנה המשפטית על כספים שמוחזקים בפרוטוקולים, גם כשהקוד שלהם פגום. מי שנפגע מניצול באג יכול להצביע על פסק דין של העליון שקובע שניצול כזה יכול להיות עבירה, גם אם המנצל טוען שרק "השתמש במערכת".

הכתבה נועדה למטרות מידע בלבד ואינה ייעוץ משפטי. הדברים המיוחסים לבלוק הם טענות בכתב האישום ובבקשת ההסגרה, והוא לא הורשע בדבר.