İsrail, 2,8 Milyon Dolarlık Nomad Soygununun Şüphelisini ABD'ye İade Etti

Ben Gurion Havalimanı'nda Yakalandı

İsrail, 2022 yılında Nomad köprü protokolünden yapılan 2,8 milyon dolarlık hırsızlığın zanlısını ABD'ye iade ettiğini Perşembe günü resmen doğruladı. Alexander Gurevich adını daha sonra Alexander Block olarak değiştiren şüpheli, İsrail'deki itiraz yolları tükendiği için Perşembe sabahı erken saatlerde Amerikan makamlarına teslim edildi. Genç adam, soyadını değiştirip yeni adıyla pasaport aldıktan kısa bir süre sonra, Mayıs 2025'te Ben Gurion Havalimanı'nda Rusya'ya gidecek uçağı beklerken gözaltına alınmıştı. ABD'nin Kuzey Kaliforniya Bölgesi'ndeki federal büyük jüri, Block hakkında Ağustos 2023'te dört sayım bilgisayar dolandırıcılığı, bir sayım çalınan malı nakletme ve üç sayım kara para aklama suçlamasıyla iddianame düzenlemiş; Washington, iade talebini Aralık 2024'te resmen sunmuştu. Savcıların iddiasına göre Nomad'ın akıllı sözleşmelerinde Haziran 2022'de yapılan bir yazılım güncellemesi açık bıraktı: kullanıcılar, bir blok zincirinde karşılık gelen varlıkları kilitlemeden başka bir zincirde token alabiliyordu. Nomad, tokenları blok zincirleri arasında taşıyan zincirler arası bir köprü hizmeti işletiyor. "Bitlik" kullanıcı adıyla hareket eden Block'un, 1 Ağustos 2022 tarihlerinin çevresindeki dört ana transferden önce altı deneme transferi gerçekleştirdiği ve toplamda 2,8 milyon doların üzerinde token topladığı iddia ediliyor. İade talebinde yer alan bilgiye göre fonlar sonrasında birkaç cüzdan arasında dolaştırıldı ve izlerini gizlemek için diğer kripto paralara, yani altcoin'lere çevrildi. Onun bu hareketleri açığı diğer kullanıcılara da gösterdi; Nomad'ın kontrolündeki ve müşteri fonlarından oluşan 186 milyon dolarlık cüzdan adeta yağmalandı. Günler sonra Block bir kısım tokenı geri gönderdi ve Nomad'ın kıdemli bir yöneticisiyle Telegram üzerinden iletişime geçerek, açığı bulmasının karşılığı olarak ödeme yapılması şartıyla geri kalanı teslim etmeyi önerdi. Ardından bağlantıyı tamamen kesti ve şirket ABD kolluk kuvvetlerine başvurdu.

Kodu Kullanmak Suç Sayılır mı?

Kudüs Bölge Mahkemesi iade kararını Temmuz 2025'te onayladı. İtirazında Block, işlemlerinin Nomad'ın otomatik sisteminin her kullanıcıya sunduğu işlevlere dayandığını ve zincir üstü para aktarımlarının kamuya açık kaydının kara para aklama suçlamalarını zayıflattığını savundu. İsrail Yüksek Mahkemesi her iki argümanı da reddetti. Kararında mahkeme, yazılımın teknik olarak izin verdiği durumlarda bile bir programlama açığını sömürmenin yetkisiz bilgisayar erişimi oluşturabileceğini, ayrıca herkese görünür işlemlerin cüzdan sahiplerini teşhir etmediğini ya da fon kaynağını gizleme girişimlerini dışlamadığını kaydetti. Mahkeme, aktarım desenini ve suçlamaları eksiksiz biçimde ortaya koyan ABD iade talebini inceledikten sonra bu sonuca vardı. Yüksek Mahkeme Başkanı Isaac Amit, Block'un yeniden yargılama talebini de reddetti; bu karar, dosyanın İsrail ayağını resmen kapatıyor. Ağustos 2022'deki saldırı, köprüyü fonlarının neredeyse tamamından yoksun bırakmıştı ve orijinal saldırı çok az teknik beceri gerektirdiği için diğer kullanıcılar aynı hatalı çağrıyı kopyaladı; sözleşme mantığına dönüşmüş bir tekrar saldırısı dalgası. Paradigm araştirmacısı Sam Sun olayın ardından bu dalgayı "çığırından çıkmış, her şeyin serbest olduğu bir kaos" olarak tanımlamıştı. Nomad, olayın ardından geçen birkaç gün içinde yaklaşık 22 milyon doları geri kazanabildi. Aralık 2025'te Federal Ticaret Komisyonu, köprünün operatörü Illusory Systems ile uzlaşma önerdi ve zararın yeterince denetlenmemiş bir yazılım güncellemesinden kaynaklandığı sonucuna vardı. Önerilen anlaşma, şirketin geri kazanılan fonları henüz telafi edilmemiş kullanıcılara iade etmesini zorunlu kılıyor.

Yüksek Mahkemenin ulaştığı sonuç tek bir sanığı aşan bir etki taşıyor. Köprü saldırılarında defalarca, sözleşmenin kendisinin transferi zaten izin verdiği gerekçesine başvuruldu; İsrail mahkemesi bu kapıyı iade hukuku bağlamında şimdi kapattı: bir işlemi mümkün kılan yazılım, o işlemi tetikleyen kişiyi erişim suçlamalarından korumuyor. Dosya aynı zamanda savcıların ödül avı (bug bounty) ile şantaj arasındaki çizgiyi nerede çizdiğini de gösteriyor, çünkü Block'un fonları ödeme karşılığında iade teklifi onun konumunu hiçbir mahkemede güçlendirmedi. 186 milyon dolarlık kayıp Block'un kendisinden değil, onu taklit eden kullanıcılarla geldi; ABD iddianamesi bu ayrımı koruyarak ona daha küçük olan 2,8 milyon dolarlık tutar üzerinden suçlama yüklüyor. Ceza aşamasında vereilecek sonuç, 2,8 milyon doların ne kadarının sonunda iade edildiğine de bağlı olacak; kamuya açık kayıtlarda bu rakam şimdilik ayrıntılı biçimde yer almıyor. FTC ile imzalanması beklenen uzlaşma, parası geri ödenmemiş kullanıcılar için telafiyi şart koşmaya devam ederken köprü operatörleri bir yandan cezai sorumluluk, diğer yandan tüketici koruması denetimiyle yüzleşiyor. ABD'deki sekiz sayım suçlama ise şimdi Kaliforniya'da yargılamaya doğru ilerliyor.