Jüri, 812 ETH Aklama İziyle Uranium Finance Saldırganı Jonathan Spalletta'yı Suçlu Buldu

Güncelleme 08:53 UTC: Mahkûmiyet duyurusu, aklama hesabına ek ayrıntı getirdi: iddianame, ilk saldırıdan elde edilen yaklaşık 386 bin doların Nisan 2021’in çok daha erken bir tarihi olan 10 Nisan 2021’den itibaren Tornado Cash’e girdiğini ve ikinci ganimetin yaklaşık 26 milyon dolarının Nisan 2021 ile Kasım 2023 arasında aşamalar halinde karıştırıcıdan geçirildiğini gösteriyor...

Manhattan Jürisi Uranium Finance Hackerını Mahkûm Etti

Manhattan’da bir federal jüri, çarşamba günü 2021’deki iki saldırıda merkeziyetsiz borsa Uranium Finance’ten neredeyse 55 milyon dolar çeken siber güvenlik danışmanı Jonathan Spalletta’yı, bilgisayar dolandırıcılığı ve kara para aklama suçlamalarını içeren iddianamedeki tüm sayılardan mahkûm etti. New York Güney Bölgesi Savcılığı kararı, ABD Bölge Hakimi Jed Rakoff önünde süren altı günlük yargılamanın ardından mahkûmiyet duyurusunda açıkladı. Jüriler oybirliği karara varmadan önce yaklaşık iki saat görüştü. Rockville, Maryland’dan 36 yaşındaki Spalletta, 30 Mart’ta teslim olmuştu ve suçlama belgelerinde “Cthulhon” ile “Jspalletta” internet takma adlarıyla tanımlanmıştı; dosya savcılığın Karma Dolandırıcılıklar ve Siber Suçlar Birimi’ne atandı. Kanuni üst sınırlar birbirinden çok farklı: bilgisayar dolandırıcılığı sayısında 10 yıl, kara para aklama sayısında ise 20 yıl. Savcılık bu tavanların Kongre tarafından belirlendiğini ve fiili cezayı hakimin vereceğini not ediyor. Yargılamada belirleyici olan Ethereum (ETH) fiyatı değil, çalınan fonların çetesine bağlandığı zincir üstü (on-chain) izydi.

Nisan 2021’de İki Ayrı Saldırı

Savcılar yargılama sırasında iki saldırıyı tek tek masaya koydu. Uranium Finance, kullanıcıların kripto paraları likidite havuzları üzerinden yatırmalarına ve takas etmelerine izin veriyordu; paraları tutan ve sabit kurallara göre ödeme yapan yazılım bir akıllı sözleşme idi ve borsa hiçbir şirketin kontrolünde olmadan çalışıyordu. Spalletta, 8 Nisan 2021’de, talep edenlere token dağıtan ve bir kripto musluk gibi işleyen ödül sözleşmesini hedef aldı: işlemler dizisini art arda tekrarlayarak hakkı olandan çok daha fazla ödül çekti ve havuzu neredeyse tamamen boşaltarak yaklaşık 1,4 milyon dolar aldı. Yaklaşık iki hafta sonra şemayı başka bir kişiye yazdığı mesajda şöyle anlattı: “Birkaç hafta önce 1,5 milyon dolarlık bir kripto soygunu yaptım ... Akıllı sözleşmede bir hata vardı ve onu sömürdüm ... Kripto zaten sahte internet parası.” Bugün bakınca ders kitabı niteliğinde kriptoda FUD sayılan bu küçümseme, jürinin gözünde hırsızlık tanımıydı. Savcılar, Spalletta’nın ardından Uranium’u kendisinin yaklaşık 386 bin doları “hata ödülü” (bug bounty) olarak tutmasına izin vermeye zorladığını söyledi; hükümet bu ödemeyi sahte olarak niteledi. 28 Nisan 2021’de ise çekimleri yöneten sözleşmedeki ikinci bir kusuru sömürdü, 26 havuzdan yaklaşık 53,3 milyon dolar çekti ve borsa kapandı. Savunma, sahte kimlik bilgisi ya da kötü amaçlı kod kullanmadığını, yalnızca platformun herkese açık bıraktığı işlevleri çağırdığını ileri sürdü; sömürü, bir tüccarın emir türleri üzerinden kontrol edebileceği bir şey değil, koddaki ödeme mantığına dayanıyordu.

Mahkûmiyet duyurusu, aklama hesabına ek ayrıntı katıyor: iddianame, ilk saldırıdan gelen yaklaşık 386 bin doların 10 Nisan 2021 gibi erken bir tarihte Tornado Cash’e girdiğini, ikinci ganimetin ise yaklaşık 26 milyon dolarlık bölümünün Nisan 2021 ile Kasım 2023 arasında aşamalar halinde karıştırıcıdan geçirildiğini gösteriyor; yazının önceki sürümündeki Ocak 2024 zincir üstü fotoğrafının aksine. İki Nisan 2021 saldırısının toplam çıktı, çalınma günündeki coin fiyatlarıyla yaklaşık 54,7 milyon dolara denk geliyor. Yargılama haberlerinde ayrıca, Spalletta’nın ödül kavgası sırasında bir Uranium temsilcisine “Bir dahaki sefere kodunuzu denetletin. İsterseniz bana tutun.” dediği not ediliyor. Jüri kararı, 28 Eylül’de açılan yargılama sonunda 7 Ekim’de açıklandı; Maryland’daki evinden el konulan kartlar 3 milyon doların üzerinde değerlendi.

Pokémon Kartları, Tornado Cash ve El Konulan Varlıklar

Aklama rotası, fonların kaynaklarını gizleyen karıştırma hizmeti Tornado Cash’ten geçti; sonra ganimet koleksiyonluk ürünlere döndü. Savcılar, yaklaşık 500 bin dolara bir Black Lotus Magic: The Gathering kartı ve kabaca 1.512.500 dolara 18 kapalı Alpha booster paketi ile birlikte, yaklaşık 750 bin dolara bir birinci baskı Pokémon temel seti ve 257.500 dolara kapalı bir booster kutusu listeledi. Ayrıca Julius Caesar’ın suikastını anmak için bastırılmış antik Roma siki Eid Mar Denarius için yaklaşık 601.545 dolar, Neil Armstrong’un Ay’a taşıdığı Wright kardeşlerin uçak kumaşından bir parça için de 137.500 dolar ödediği kayıtlara geçti. Zincir üstü analitik, izin bir bölümünü Ocak 2024’te çoktan takip etmişti: Uranium sömürücüsü olarak etiketlenen bir adresten yaklaşık 2,5 milyon BUSD, Li.fi üzerinden BNB Chain’den Ethereum’a geçti; alıcı adres 812 Ethereum (ETH) ile yaklaşık 505.500 dolar stablecoin topladı. Mahkeme izinli arama ile soruşturmacılar Black Lotus kartını, uçak kumaşını ve antik sikkeleri Spalletta’nın Maryland’daki evinden aldı. Emniyet güçleri ayrıca 24 Şubat 2025’te hırsızlıklarla bağlantılı kripto paraya el koydu; varlıklar el konulduğu anda yaklaşık 31 milyon dolar değerindeydi. Savcılığın duyurusu, saldırının kurbanı olduğuna inananları Homeland Security Investigations ile iletişime geçmeye yönlendiriyor.

Ceza Duruşması 16 Şubat’ta

Karar, tek başına çalışan sömürücü kurbanlarına yönelik tazminat sürecinin ne kadar ilerlediğini gösteriyor. Tornado Cash üzerinden karıştırma ve çalınan kriptoyu kartlara, antikatlara çevirme, fonları erişilemez hale getirmedi: ajanlar yaklaşık 31 milyon dolarlık kripto ile koleksiyonlukların kendilerine el koydu; tazminat hesabı ise hakimin 20 yıllık aklama tavanıyla manevra alanı bulacağı 16 Şubat’taki ceza duruşmasını bekliyor. Başarısız “hata ödülü” hamlesi dersin diğer yarısı, çünkü savcılar tutulan 386 bin doları hafifletici değil suç niyetinin kanıtı saydı. Dosya ayrıca, DefiLlama verilerinin 2026’nın en büyük saldırısı olarak 350 milyon dolarlık Eylül Bitget ihlalini sıraladığı bir döneme denk geliyor. Merkeziyetsiz mekanlar ile en iyi kripto borsaları arasında tercih yapan herkes için SDNY’nin dosyası denklemin somut hali: denetlenmiş sözleşmeler ve hesap verebilir işletmeciler, zararı kimin üstlendiğine karar veriyor.