Jüri, 812 ETH Aklama İziyle Uranium Finance Saldırganı Jonathan Spalletta'yı Suçlu Buldu

Manhattan Jürisi Uranium Finance Saldırganını Mahkum Etti

Manhattan'da görevli bir federal jüri, çarşamba günü siber güvenlik danışmanı Jonathan Spalletta'yı 2021'deki iki saldırı dolayısıyla okunan iddianamedeki tüm suçlamalardan suçlu buldu. Saldırılar, merkeziyetsiz borsa Uranium Finance'ten yaklaşık 55 milyon doların çekilmesiyle sonuçlanmıştı; Spalletta hakkındaki suçlamalar bilgisayar dolandırıcılığı ile kara para aklama üzerine kurulu. New York Güney Bölgesi savcılığı kararı resmi mahkumiyet duyurusuyla açıkladı. ABD Bölge Hakimi Jed Rakoff'un önünde görülen dava altı gün sürdü; jüri, oybirliğiyle karara varmadan önce yaklaşık iki saat görüştü. 36 yaşındaki Spalletta, Maryland'in Rockville kentinden olup davada 30 Mart'ta teslim olmuştu. Dosyalarda "Cthulhon" ve "Jspalletta" takma adlarıyla tanımlanan sanığın dosyası, savcılığın Karma Dolandırıcılık ve Siber Suç Birimi'ne verildi. Yasal üst sınırlar keskin biçimde ayrışıyor: bilgisayar dolandırıcılığı kaleminde 10, kara para aklama kaleminde 20 yıl. Savcılık, bu üst sınırları Kongre'nin belirlediğini ve gerçek cezayı hakimin saptayacağını not ediyor. Duruşmanın kaderini Ethereum (ETH) fiyatı değil, işlem kayıtları belirledi: Spalletta'yı mahkum eden, savcılığın çalınan fonlara bağladığı zincir üstü iz oldu.

8 Nisan 2021'de İlk Saldırı

Savcılar iki saldırıyı da duruşmada tek tek anlattı. Uranium Finance, kullanıcıların likidite havuzları üzerinden kripto para yatırıp takas etmesine izin veriyordu; coinleri tutan ve sabit kurallara göre ödeme yapan yazılım bir AMM mantığıyla çalışan akıllı sözleşmeydi (smart contract), yani borsayı işleten bir şirket yoktu. 8 Nisan 2021'de Spalletta, bir ödül sözleşmesini hedef aldı: kripto musluğu gibi hak sahiplerine token dağıtan bu sözleşmede bir dizi işlemi tekrarlayarak hakkından çok daha fazla ödül çekti ve havuzun neredeyse tamamını boşalttı, yaklaşık 1,4 milyon dolar kazandı. Yaklaşık iki hafta sonra şemayı başka birine mesajla anlattı: "Birkaç hafta önce 1,5 milyon dolarlık bir kripto soygunu yaptım... Akıllı sözleşmede bir hata vardı ve bundan yararlandım... Kripto zaten sahte internet parası." Bugün bakıldığında bu küçümseyici laf, ders kitabına girecek türden bir FUD örneği; jüri de fiilen onun hırsızlığı tarif ettiği sonucuna vardı. Savcılara göre Spalletta ardından Uranium'u baskılayıp yaklaşık 386 bin doları "hata ödülü" (bug bounty) olarak tuttu; hükümet bu ödemeyi sahte ilan etti. 28 Nisan 2021'de ise çekimleri yöneten sözleşmedeki ikinci açığı kullanarak 26 havuzdan yaklaşık 53,3 milyon doları süzüp çekti ve borsa kapandı. Savunma, sanığın yalnızca platformun herkese açık bıraktığı işlevleri kullandığını, sahte kimlik bilgisi ya da zararlı kod söz konusu olmadığını öne sürdü. Saldırı kodun ödeme mantığındaki boşluğa dayanıyordu; bir yatırımcının emir türleri üzerinden kontrol edebileceği bir şey değildi.

Pokémon Kartları, Tornado Cash ve El Koyan Ekip

Aklama rotası, coinlerin nereden geldiğini gizleyen bir mikser (mixing) servisi olan Tornado Cash'ten geçti; sonra para koleksiyonluk ürünlere dönüştü. Savcılar yaklaşık 500 bin dolara bir Black Lotus Magic: The Gathering kartı ile kabaca 1.512.500 dolara 18 adet mühürlü Alpha paketi listeledi. Yanına ilk baskı Pokémon temel seti için yaklaşık 750 bin dolar ve mühürlü bir booster kutusu için 257.500 dolar yazıldı. Spalletta ayrıca Jül Sezar'ın suikastını anmak için bastırılmış antik Roma sikkesi Eid Mar Denarius için yaklaşık 601.545 dolar, Neil Armstrong'un Ay'a götürdüğü Wright kardeşler uçak kumaşından bir parça için ise 137.500 dolar ödedi. Zincir üstü analizler izin bir bölümünü Ocak 2024'te çoktan takip etmişti: Uranium saldırganı olarak etiketlenmiş bir adresten yaklaşık 2,5 milyon BUSD çıktı, Li.fi üzerinden BNB Chain'den Ethereum'a geçti ve alıcı adres 812 Ethereum (ETH) ile yaklaşık 505.500 dolarlık sabit coin topladı. Mahkeme tarafından yetkilendirilmiş bir arama emriyle soruşturmacılar Black Lotus kartını, uçak kumaşını ve antik sikkeleri Spalletta'nın Maryland'deki evinden geri aldı. Kolluk kuvvetleri ayrıca 24 Şubat 2025'te hırsızlıklarla bağlantılı kripto paraya el koydu; varlıklar el konulduğu anda yaklaşık 31 milyon dolar değerindeydi. Savcılığın duyurusu, saldırının mağduru olduğunu düşünen herkesi Homeland Security Investigations ile temas etmeye çağırıyor.

Cezası 16 Şubat'ta Açıklanacak

Karar, tek başına çalışan saldırgan kurbanlarının geride bıraktıkları fonları ne kadar geri alabildiğini de gösteriyor. Tornado Cash üzerinden karıştırıp çalınan kriptoyu kart ve antikacılığa çevirmek fonları erişilmez kılmadı: ajanlar yaklaşık 31 milyon dolarlık kriptonun yanına koleksiyonluk ürünlerin kendisini de aldı; iade hesabı 16 Şubat'taki celseyi bekliyor ve 20 yıllık aklama üst sınırı hakime alan tanıyor. Başarısız "hata ödülü" hamlesi başka bir ders: savcılar tutulan 386 bin doları hafifletici değil, niyetin kanıtı saydı. Dosya aynı zamanda DefiLlama verilerinin Eylül'deki Bitget ihlalini, 350 milyon dolarla, 2026'nın en büyük hack'i olarak sıraladığı bir döneme denk geliyor. Merkeziyetsiz platformları en iyi kripto borsaları ile tartan okur için SDNY dosyası dengeyi net çiziyor: denetlenmiş sözleşmeler ve hesap verebilir işletmeciler, kaybı kimin üstlendiğini belirliyor.