이스라엘, 노다 브리지 280만 달러 탈취 블록 미국에 신속 인도

벤구리온 공항에서 체포

이스라엘이 2022년 Nomad 브리지 프로토콜 탈취 사건의 배후로 지목된 알렉산더 블록을 미국에 신속 인도했다. 이스라엘 검찰청은 목요일 이를 공식 확인했다. 예전 이름 알렉산더 구레비치로 알려졌던 블록은 이스라엘 내 항소가 모두 기각된 뒤 목요일 새벽 미국 당국에 인도됐다. 그는 2025년 5월 러시아행 항공편을 기다리던 중 벤구리온 공항에서 체포됐는데, 직전에 성을 바꾸고 새 여권을 발급받은 상태였다. 캘리포니아 북부연방지법의 연방대배심은 2023년 8월 블록을 컴퓨터 사기 4건, 장탄물 운반 1건, 자금세탁 3건으로 기소했고, 미국 정부는 2024년 12월 신속 인도를 요청했다. 검찰이 밝힌 범행의 구조는 이렇다. 2022년 6월 소프트웨어 업데이트가 Nomad 스마트 계약에 결함을 남겼고, 이용자는 한 블록체인에서 토큰을 받으면서 다른 체인의 동일 자산을 잠그지 않아도 됐다. Nomad는 토큰을 블록체인 간에 옮기는 크로스체인 브리지 서비스를 운영한다. 검찰은 블록이 'Bitlik'이라는 계정명으로 2022년 8월 1일 전후에 6건의 시험 송금을 실행한 뒤 4건의 본 송금으로 280만 달러 이상의 토큰을 가져갔다고 주장한다. 신속 인도 요청 서류에 따르면 자금은 여러 지갑을 거쳐 다른 암호화폐로 바뀌며 출처가 가려졌다. 그의 행동은 결함을 다른 이용자들에게 노출시켰고, 이들은 고객 자금 1억 8,600만 달러 이상이 담긴 Nomad 관리 지갑을 비워냈다. 며칠 뒤 블록은 일부 토큰을 돌려주고 텔레그램으로 Nomad 고위 임원에게 연락해 취약점을 발견한 대가로 나머지를 보상금과 함께 돌려주겠다 제안했으나, 이후 연락을 끊었고 회사는 미국 집법 당국에 사건을 넘겼다.

코드 익스플로잇 판례가 되다

예루살렘 지방법원은 2025년 7월 신속 인도를 승인했다. 항소에서 블록은 자신의 거래가 Nomad 자동화 시스템이 모든 이용자에게 제공하던 기능을 사용한 것일 뿐이라고 주장했고, 온체인 거래가 공개 기록이라는 점이 자금세탁 혐의를 약화시킨다고 내세웠다. 이스라엘 대법원은 두 주장을 모두 기각했다. 판결문에 기재된 요지는 이렇다. 소프트웨어가 기술적으로 해당 행위를 허용했더라도 프로그래밍 결함을 악용하는 행위는 불법 컴퓨터 침입에 해당할 수 있으며, 공개된 거래 기록만으로는 지갑의 실소유자를 특정할 수 없고 자금 출처 은폐 시도도 배제할 수 없다는 것이다. 대법원장 이삭 아밋은 이후 추가 심리 청구를 기각해 이스라엘 단계가 종결됐다. 2022년 8월의 익스플로잇은 브리지에서 자금 대부분을 유출했고, 원래 공격이 고도의 기술을 요구하지 않았기 때문에 다른 이용자들이 같은 결함 있는 호출을 반복해 사실상 계약 로직에 대한 리플레이 공격 형태로 이어졌다. Paradigm 연구원 샘 선은 당시 이를 “사납게 벌어진 만인의 무법지대”라고 표현했다. Nomad는 사건 직후 며칠간 약 2,200만 달러를 회수했다. 2025년 12월 연방거래위원회는 브리지 운영사 Illusory Systems와의 합의안을 제안하며, 충분히 검증되지 않은 소프트웨어 업데이트가 손실의 원인이라고 결론 내렸다. 합의안은 회사가 회수한 자금을 아직 보상받지 못한 이용자에게 돌려주도록 요구한다.

대법원의 판단은 한 피고인을 넘어 영향을 미친다. 브리지 익스플로잇 사건마다 '계약 자체가 거래를 허용했다'는 방어가 반복해 등장해 왔고, 이스라엘 법원은 신속 인도의 관점에서 그 문을 닫았다. 거래를 허용하는 소프트웨어가 작동자를 침입 혐의로부터 면책하지 않는다는 뜻이다. 이 사건은 검찰이 버그 바운티와 협박을 어디서 구분하는지도 보여준다. 자금 반환이 보상금과 맞바뀌는 제안은 어느 법원에서도 블록의 지위를 개선하지 못했다. 1억 8,600만 달러 손실은 블록 본인이 아니라 따라 하는 이용자들에서 나왔고, 미국 기소는 이를 반영해 더 작은 280만 달러를 그에게 귀속시켰다. 양형 결과 역시 결국 280만 달러 중 얼마가 반환됐는지에 달려 있는데, 공개 기록은 이 부분을 상세히 밝히지 않았다. 미 연방거래위원회 합의가 미보상 이용자에 대한 환불을 계속 요구하는 상황에서 브리지 운영사는 한쪽에서 형사 리스크, 다른 쪽에서 소비자 보호 규제에 동시에 직면해 있다. 이제 8건의 연방 혐의가 캘리포니아에서 재판으로 넘어간다.