«Етичний хакер» із мільйонними апетитами: історія арешту та екстрадиції Олександра Гуревича
Ця історія виглядає як сценарій голлівудського кіно, проте вона є реальним кейсом про те, як працюють сучасні блокчейн-розслідування та міжнародна екстрадиція.
Суть справи та злам мосту Nomad
Усе почалося у серпні 2022 року, коли у криптомосту Nomad (платформі для переказу криптовалюти між різними блокчейнами) виявили фатальну помилку в коді. Система дозволяла випускати токени без будь-якого забезпечення.
За версією американських прокурорів, громадянин Ізраїлю та Росії Олександр Гуревич знайшов цю вразливість першим і вивів близько 2,89 мільйона доларів. Після цього спрацював ефект «цифрового натовпу»: десятки інших користувачів просто копіювали його транзакцію, підставляли власні гаманці та виводили кошти. Загалом міст втратив приблизно 190 мільйонів доларів.
Переговори з вимаганням та «благородство»
Найкумедніша і водночас зухвала частина історії розгорнулася після зламу. Гуревич під вигаданим ім'ям написав у Telegram технічному директору Nomad:
Він зізнався, що шукав вразливості «по-аматорськи», вибачився і навіть повернув частину коштів — близько 162 тисяч доларів.
Після цього хакер почав торгуватися. Компанія пропонувала йому стандартну винагороду як «етичному хакеру» (10%), натомість він вимагав 500 тисяч доларів, пообіцяв «порадитися з юристом» і остаточно зник.
Арешт, зміна прізвища та екстрадиція
У серпні 2023 року суд у Каліфорнії висунув Гуревичу обвинувачення за вісьмома пунктами (включно з відмиванням грошей, за що загрожує до 20 років ув'язнення). У грудні 2024-го США звернулися до Ізраїлю з офіційним запитом про екстрадицію. Захист намагався доводити, що хакер нібито нічого не зламував, а просто скористався функціоналом, який сама система дозволяла виконувати. Проте Верховний суд Ізраїлю чітко розставив пріоритети, зазначивши, що несанкціонований доступ — це зокрема і використання помилки в коді, а не лише підбір паролів.
Розуміючи неминучість видачі, обвинувачений пішов на відчайдушні кроки:
29 квітня 2025 року він офіційно змінив прізвище і став Олександром Блоком.
30 квітня (всього за добу) отримав новий паспорт просто в аеропорту.
1 травня його заарештували на тому ж місці, коли він очікував на рейс до Росії.
29 жовтня Ізраїль остаточно видав його Сполученим Штатам.
Висновки кейсу
Ця справа є показником для двох світів:
Ілюзія запасних аеродромів: Друге громадянство та придбані за добу документи на нове прізвище не рятують від ордерів Мін'юсту США і не скасовують реальності екстрадиції.
Незворотність блокчейну: Три роки тиші не були свободою — це був час, за який слідство добудувало ланцюжок до кінця. Прізвище можна змінити за добу, але криптовалютний гаманця і транзакції в мережі не перепише ніхто.
