Merkeziyetsiz bir protokoldeki saldırı nedeniyle kaybedilen varlık için Türkiye'den hak aramak hukuken mümkündür; sonucu belirleyen şey ise hukuki gerekçe değil muhatap sorunudur. Karşınızda bir şirket, bir merkez ve çoğu zaman bir adres yoktur. Kod vardır, dağınık bir topluluk vardır, kimliği bilinmeyen bir saldırgan vardır. Buna rağmen atılacak adımlar boş değildir: saldırgana karşı ceza yolu açıktır, protokolün arkasında ulaşılabilir bir yapı varsa hukuk davası gündeme gelebilir, birçok projede zarar görenlere yönelik tazminat programları işletilir. Aşağıda bu üç yolun gerçekte nereye kadar gittiği ele alınıyor.
Kısa cevap: DeFi saldırısında Türkiye'den hak arama üç kanaldan yürür: saldırgana karşı Cumhuriyet başsavcılığına suç duyurusu, protokolün arkasında ulaşılabilir bir şirket veya ekip varsa haksız fiil ya da sözleşme temelli tazminat talebi, protokolün kendi tazminat programına başvuru. Muhatabın belirlenememesi ve failin yurt dışında olması, en sık karşılaşılan iki engeldir. Sonuç, protokolün yapısına ve zararın belgelenebilirliğine göre değişir.
Merkeziyetsiz protokolde muhatap kimdir?
Merkeziyetsiz protokolde muhatap, çoğu olayda tek bir kişi veya kurum değil, ayrı ayrı düşünülmesi gereken birkaç olası taraftır. Sorumluluk tartışmasından önce yanıtlanacak soru şudur: kime karşı talep ileri sürülüyor?
Uygulamada karşımıza çıkan taraflar şunlardır: protokolü geliştiren şirket veya vakıf (varsa); akıllı sözleşmeyi yazan geliştiriciler; kodu denetleyen bağımsız denetim (audit) firması; ön yüzü ve alan adını işleten kişi ya da şirket; yönetişim kararlarını alan DAO ve token sahipleri; nihayet saldırgan.
Hepsi aynı ölçüde ulaşılabilir değildir. Ön yüzü işleten şirket kayıtlı bir ticari yapı olabilirken, kodu yazan ekip takma adlarla çalışıyor olabilir. DAO'nun Türk hukukunda tüzel kişiliği bulunmadığından muhatap tespiti ayrıca sorunludur; katılanların kişisel sorumluluğunun hangi koşullarda tartışılabileceği DAO üyelerinin sorumluluğu yazısında ele alınmıştır.
SPK düzenlemeleri protokolü kapsıyor mu?
Kripto varlıklara ilişkin Türk düzenlemesinin muhatabı, kural olarak kripto varlık hizmet sağlayıcılarıdır. 6362 sayılı Sermaye Piyasası Kanunu'nun 3. maddesinde kripto varlık hizmet sağlayıcı; platformlar, saklama hizmeti veren kuruluşlar ve ilk satış ya da dağıtım dâhil kripto varlıklar konusunda hizmet sunan diğer kuruluşlar olarak tanımlanmıştır. Kanunun 35/B maddesi uyarınca bu kuruluşların faaliyeti Sermaye Piyasası Kurulu (SPK) iznine bağlıdır.
Tüzel kişiliği ve merkezi olmayan, kullanıcı varlıklarını saklamayan bir protokolün bu tanımlara girip girmediği ise tartışmalıdır. İzinli bir platformda tuttuğunuz varlıkla, zincir üzerinde bir akıllı sözleşmeye kilitlediğiniz varlık aynı hukuki korumaya sahip değildir.
Hangi hukuki zeminler tartışılabilir?
Protokolün arkasında ulaşılabilir bir taraf varsa gündeme gelecek ilk zemin haksız fiildir. 6098 sayılı Türk Borçlar Kanunu'nun (TBK) 49. maddesine göre kusurlu ve hukuka aykırı bir fiille başkasına zarar veren, bu zararı gidermekle yükümlüdür. Kusur, hukuka aykırılık, zarar ve nedensellik bağının birlikte ortaya konması gerekir; TBK m. 50 uyarınca ispat yükü zarar görendedir. Bilinen bir açığın kapatılmaması veya denetim raporundaki uyarının görmezden gelinmesi, kusur tartışmasının merkezinde yer alır.
İkinci zemin sözleşmedir. Kullanım koşulları veya bir proje dokümanı varsa uyuşmazlık öncelikle o metinler üzerinden değerlendirilir. Kullanıcı ile protokol arasında yalnızca bir cüzdan bağlantısı bulunduğu hâllerde sözleşme benzeri bir güven ilişkisinin doğup doğmadığı ise öğretide tartışılan bir sorudur; Türk yargısında test edilmiş yerleşik bir cevabı yoktur. Bu zemin kesin bir dayanak gibi sunulamaz.
Zamanaşımı ihmal edilmemelidir. TBK m. 72 uyarınca haksız fiilden doğan tazminat istemi, zarar görenin zararı ve tazminat yükümlüsünü öğrendiği tarihten başlayarak iki yılın ve her hâlde fiilin işlendiği tarihten başlayarak on yılın geçmesiyle zamanaşımına uğrar; fiil ceza kanunlarının daha uzun zamanaşımı öngördüğü bir suç oluşturuyorsa o süre uygulanır. Muhatabın yıllar sonra ortaya çıktığı dosyalarda "öğrenme" anı başlı başına bir tartışmadır.
Kodun beklenenden farklı çalışmasının sonuçları ve "kod kanundur" savunması akıllı sözleşme hatasından doğan zarar yazısında incelenmiştir.
Saldırgana karşı ceza yolu: nereye kadar gider?
Ceza soruşturması, zararın kendiliğinden karşılanmasını sağlamaz; ancak failin tespiti ve varlıkların izlenmesi bakımından işlev görebilir. Suç duyurusu, yerleşim yerinizdeki Cumhuriyet başsavcılığına yazılı olarak yapılabilir. TCK m. 243 ve 244 gibi bu tür olaylarda gündeme gelebilecek bazı bilişim suçları kural olarak şikâyete tabi değildir; buna karşılık soruşturma rejimi somut olayda uygulanacak suç tipine göre belirlenir.
Türk Ceza Kanunu'nun bilişim alanındaki hükümleri, bir bilişim sistemine hukuka aykırı erişimi (TCK m. 243) ve sistemdeki verileri bozma, yok etme, değiştirme veya erişilmez kılma gibi fiilleri (TCK m. 244) cezalandırır; m. 244/4 bu fiillerle haksız çıkar sağlanmasını, fiil başka bir suç oluşturmuyorsa ayrıca yaptırıma bağlar. Olayın kurgusuna göre bilişim sistemlerinin kullanılması suretiyle hırsızlık (TCK m. 142/2-e) veya bilişim sistemlerinin araç olarak kullanılması suretiyle dolandırıcılık (TCK m. 158/1-f) nitelendirmeleri de tartışılır; hangisinin uygulanacağı failin sisteme müdahale edip etmediğine göre değişir.
Savcılık zinciri gerçekten takip edebilir mi?
Blokzincir üzerindeki transferler herkese açık olduğundan çalınan varlıkların hangi adreslere gittiği teknik olarak izlenebilir. Sorun izlemede değil, adresin arkasındaki kişiye ulaşmadadır. Fonlar bir merkezî borsaya girdiğinde o borsanın kimlik kayıtları belirleyici olur; karıştırıcı hizmetler veya zincirler arası köprüler üzerinden dağıtıldığında iz kopar.
Burada iki gerçeklikle karşılaşılır. Birincisi, fail büyük ihtimalle Türkiye'de değildir. Yurt dışındaki bir şüpheli veya yabancı bir borsanın kayıtları için 6706 sayılı Cezaî Konularda Uluslararası Adlî İş Birliği Kanunu çerçevesinde talep düzenlenir; talepler merkezî makam olan Adalet Bakanlığı aracılığıyla iletilir, karşılıklılık ilkesi gözetilir. İkincisi, bu yol zaman alır; aylarca süren bir yazışmanın sonunda fonlar çoktan hareket etmiş olabilir.
Yine de erken başlatılan soruşturmanın somut değeri vardır: varlıkların bir borsa hesabında durduğu tespit edilirse el koyma tedbirleri gündeme gelebilir. Cüzdan seviyesindeki izinsiz transferlerde izlenecek adımlar kripto cüzdanından izinsiz transfer yazısında anlatılmıştır.
Zarar nasıl belgelenir?
Zararın belgelenmesi, suç duyurusunun da tazminat talebinin de protokole yapılacak başvurunun da ortak temelidir. Saldırıyı öğrendiğiniz anda şu kayıtları toplayın:
- Kendi cüzdan adresiniz ve protokolün akıllı sözleşme adresi.
- Yatırım işleminizin ve saldırı anındaki hareketin işlem numaraları (TXID), blok yüksekliği ve zaman damgası.
- Varlığın türü, miktarı ve saldırı anındaki fiyat verisi.
- Protokolün resmî duyuruları: olay raporu, tazmin planı, başvuru formu, topluluk oylaması kayıtları.
- Saldırganın kullandığı adres ve fonların izlediği yola ilişkin zincir görüntüleri.
- Varsa denetim raporları ve önceden yayımlanmış güvenlik uyarıları.
Ekran görüntüsüyle yetinmeyin; kayıtları zincir üzerinde doğrulanabilecek biçimde saklayın. Elektronik kayıtların Türk yargılamasındaki değeri blokzincir kayıtlarının delil niteliği yazısında açıklanmıştır.
Protokolün tazminat programı ve saldırganla pazarlık
Uygulamada zararın kısmen karşılandığı en sık görülen kanal, mahkeme değil protokolün kendi tazminat mekanizmasıdır. Birçok projede saldırı sonrası hazine kaynaklarından ödeme, zarar oranında yeni token dağıtımı veya kademeli geri ödeme planı yönünde yönetişim kararları alınır. Bu programlar hukuki bir yükümlülükten değil, projenin devam etme iradesinden doğar; başvuru süresi ve kabul edilen kanıt türü duyuruya bağlıdır. Duyuruyu kaçırmamak, çoğu kullanıcı için dava açmaktan daha belirleyicidir.
İkinci bir uygulama, saldırganla pazarlıktır. Protokoller sıklıkla fonların bir kısmının iadesi karşılığında hukuki takip yapılmayacağını duyurur. Bu, protokolün kendi tercihidir; sizin şikâyet hakkınızı ortadan kaldırmaz. Kullanıcının saldırganla doğrudan pazarlığa girmesi ise risklidir: ödeme yapılan adresin kontrolü belirsizdir ve yazışmalar sonradan aleyhe yorumlanabilir.
Sık yapılan hatalar
- Saldırıyı öğrenince sosyal medyada tartışıp zincir kayıtlarını toplamayı günler sonraya bırakmak.
- Cüzdanla protokol arasındaki eski işlem izinlerini (approval) iptal etmeden beklemek.
- Tazminat başvuru formunu "nasılsa bir şey çıkmaz" diyerek doldurmamak.
- Muhatap belirlenmeden dava açmayı gündeme getirmek.
- Zamanaşımını gözden kaçırıp yılları savcılık dosyasını bekleyerek geçirmek.
Sonucu değiştiren ayrıntılar
Aynı saldırıdan zarar gören iki kullanıcının hukuki durumu farklı olabilir. Belirleyici unsurlar: protokolün arkasında kayıtlı bir şirket veya vakıf bulunup bulunmadığı; ön yüzü işleten tarafın tespit edilebilirliği; kabul edilmiş bir kullanım koşulunun varlığı; saldırının duyurulmuş bir güvenlik uyarısına rağmen gerçekleşmesi; fonların merkezî bir borsaya girip girmediği; zararın belgelenebilirliği; failin bulunduğu ülke.
Zararın kaynağı özellikle önemlidir. Protokolün kodundaki açıktan doğan kayıp ile kullanıcının özel anahtarını ele vermesinden doğan kayıp, hem muhatap hem ispat bakımından farklı yollara çıkar.
Ne zaman hukuki değerlendirme alınmalı?
Fonların bir merkezî borsa hesabına aktarıldığını tespit ettiyseniz tedbir talepleri zaman hassasiyeti taşır; gecikmeden hareket edilmesi gerekir. Protokolün tazminat başvurusu için süre açıklandığında belgelerin baştan doğru hazırlanması, sonradan düzeltilmesinden kolaydır. Zararın yüksek olduğu veya birden fazla ülkenin devreye girdiği hâllerde dosyanın bütün olarak değerlendirilmesi yerinde olur.
Sık Sorulan Sorular
DeFi protokolü hacklendi, kime dava açacağım?
Davanın muhatabı, protokolün arkasında hukuken ulaşılabilir bir taraf bulunup bulunmadığına göre belirlenir. Kayıtlı bir şirket veya vakıf varsa talep ona yöneltilir; yoksa geliştiriciler, denetim firması veya ön yüzü işleten kişi ayrı ayrı değerlendirilir. Hiçbiri tespit edilemiyorsa hukuk davası pratikte işlevsiz kalır; ağırlık ceza soruşturmasına ve protokolün tazminat programına kayar.
Savcılığa şikâyette bulunmak zorunda mıyım, süresi var mı?
Olayda TCK m. 243 veya m. 244 gibi şikâyete tabi olmayan bir suç tipi uygulanıyorsa soruşturma ihbar üzerine veya re'sen yürütülür; bu suçlar bakımından ayrıca şikâyet süresi işlemez. Başka bir suç tipi gündeme geliyorsa süre rejimi değişebilir. Yine de erken başvurunun somut faydası vardır: fonlar bir borsaya girdiğinde kayıtların temini ve tedbir talepleri ancak açılmış bir dosya üzerinden yürütülebilir.
Kripto varlığımı geri alma ihtimalim gerçekte ne kadar?
Bu, fonların nereye gittiğine bağlıdır. Varlıklar kimlik doğrulaması yapan bir merkezî borsada durdurulduysa iade veya el koyma ihtimali doğar; karıştırıcı hizmetlerden ya da köprülerden geçirildiyse iz kaybolur. Kullanıcıların bir kısım tahsilat yaptığı en yaygın kanal protokolün tazminat programıdır. Kesin bir oran verilemez.
Protokol "zararı karşılayacağız" diye duyuru yaptı, bu hukuken bağlayıcı mı?
Bağlayıcılık, duyurunun içeriğine ve arkasında sorumlu tutulabilecek bir kişi ya da kuruluş bulunup bulunmadığına göre değerlendirilir. Koşulları belirlenmiş ve belirli bir yapı tarafından üstlenilmiş bir taahhüt tartışılabilir; anonim bir hesaptan yapılan genel açıklamanın muhatabını göstermek ise çoğu olayda mümkün olmaz. Duyuruyu tarihi ve kanalı görünecek şekilde kaydedin.
Zararımı Türk mahkemesinde dava edersem hangi mahkeme yetkili olur?
Haksız fiilden doğan davalarda 6100 sayılı Hukuk Muhakemeleri Kanunu m. 16 uyarınca haksız fiilin işlendiği, zararın meydana geldiği yer veya zarar görenin yerleşim yeri mahkemesi de yetkilidir. Yabancılık unsuru varsa 5718 sayılı Milletlerarası Özel Hukuk ve Usul Hukuku Hakkında Kanun'un (MÖHUK) 40. maddesi gereği Türk mahkemelerinin milletlerarası yetkisi bu iç hukuk kurallarına göre belirlenir; uygulanacak hukuk MÖHUK m. 34 çerçevesinde değerlendirilir. Yetkili mahkemenin bulunması, kararın yurt dışında icra edilebileceği anlamına gelmez.
Sonuç
DeFi saldırılarında hukuki mücadelenin kaderi çoğu zaman ilk hafta belirlenir. Zincir kayıtlarının toplanması, protokolün duyurularının takibi ve savcılık dosyasının açılması bu dönemde yapılırsa sonraki adımların hepsi mümkün kalır.
Hukuken belirleyici olan soru ise muhataptır. Protokolün arkasında kayıtlı bir şirket veya vakıf varsa haksız fiil ve sözleşme hükümleri gerçek bir zemin sunar; hiçbir taraf tespit edilemiyorsa ağırlık ceza soruşturmasına ve protokolün kendi tazminat programına kayar. Bu ayrımı belgeleriniz ve zincir kayıtlarınız görülmeden yapmak mümkün değildir.
İçerik kapsamı: Bu yazı genel bilgilendirme amacı taşır; somut olayın özellikleri ayrıca değerlendirilmelidir.