Tornado Cash DAO saldırısı ve yaptırım davası: Mayıs 2023

Mayıs 2023’te, Ethereum üzerindeki gizlilik odaklı işlem karıştırma hizmeti Tornado Cash’in DAO yönetişimi kötü amaçlı bir teklif aracılığıyla ele geçirildi. Önceki meşru bir teklife benzeyen sözleşme onaylandıktan sonra saldırgan kodu aynı adreste değiştirdi. Yönetişim sözleşmesinde yürütülen kod, saldırganın kontrolündeki adreslere toplam 1,2 milyon oy gücü sağladı.

Bu oy gücü meşru oyları aştı ve saldırganın yönetişimde kilitli TORN bakiyelerini çekebilmesini sağladı. İlk zincir üstü incelemelerde 10.000 TORN’un yaklaşık 25.600 dolara satıldığı, ardından kalan bakiyelerin çekildiği bildirildi. EmberCN takma adlı analist Twitter paylaşımında yaklaşık 483.000 TORN çekildiğini ve 379.000 TORN’un 372 ETH’ye çevrildiğini yazdı. Yaklaşık 680.000 dolarlık değer olay sırasındaki fiyatları yansıtıyordu; toplam kâr veya güncel değer değildi.

Saldırgan yönetişimi geri vermek için teklif sundu

Mayıs 2023’teki saldırının ardından saldırgan, DAO yönetişimini eski durumuna döndürmeyi amaçlayan başka bir teklif sundu. Bu gelişme topluluk forumundaki gönderide ele alındı.

Bir topluluk üyesi, saldırganın yönetişimi geri vermek için yeni bir teklif sunduğunu ve bunu uygulayabileceğini düşündüğünü forumda yazdı.

O dönemin haberinde TORN’un cumartesi yaklaşık 7,30 dolardan 3,75 dolara düştüğü, ardından yaklaşık 4,85 dolara toparlandığı belirtildi. Bunlar Mayıs 2023 fiyatlarıdır. Saldırı yönetişim sözleşmelerini etkiledi; karıştırma havuzlarındaki kullanıcı bakiyelerinin doğrudan boşaltıldığı anlamına gelmez. Fiyat hareketinin nedeni kesin olarak kanıtlanmış değildi.

TORN/USDT fiyat grafiği. Kaynak: TradingView

Bazı gözlemciler geri verme teklifinin güvenilirliğini ve saldırganın niyetini sorguladı. Tornadosaurus-Hex adlı katılımcı da değişiklikleri geri alabilecek bir sözleşme üzerinde çalıştı. Saldırganın oy gücü, diğer katılımcıların teklifi engelleme imkânını sınırlıyordu.

Üyenin açıklaması, topluluğun saldırganın teklifini durdurabilecek etkili bir seçeneği kalmadığı yönündeydi.

İlk haberde, oylamanın 26 Mayıs 2023’te sona ermesi beklendiği için teklifin sonucu henüz bilinmiyordu. OpenZeppelin’in sonraki güvenlik incelemesi, saldırganın kontrolü DAO’ya geri verdiğini bildirdi. İlk haberdeki belirsizlik güncel durum gibi sunulmamalıdır.

Haberde, saldırganla bağlantılı olduğu değerlendirilen adreslerin 24 Mayıs 2023 akşamı 100 ETH ve 38.302 TORN taşıdığı belirtildi. İşlem kaydı için Etherscan verileri gösterildi. Haberin hesaplamasına göre adreste 20 ETH’den fazla bakiye kalmıştı; bu, kimliğin kesin olarak saptandığı veya güncel bakiye olduğu anlamına gelmez.

Yönetişim saldırısı, DeFi protokolü 0VIX’in yaklaşık 2 milyon dolar kaybettiği flaş kredi saldırısından yaklaşık üç hafta sonra meydana geldi. Dönemin haberinde CertiK’in istismarlar, flaş kredi saldırıları, çıkış dolandırıcılıkları ve köprü güvenliği konusunda uyarıları aktarıldı. Mayıs 2023 başında Level Finance de 214.000’den fazla LVL tokenının çalındığı bir ihlal bildirdi. Kripto saldırılarında çalınan tutarın 2023 başında azalması, sistemlerin güvenli hale geldiğini veya saldırı riskinin ortadan kalktığını göstermiyordu.

TRM Labs: İlk çeyrekteki düşüş kalıcı bir eğilim olmayabilir

TRM Labs’in Mayıs 2023’te yayımladığı araştırma, 2023’ün ilk üç ayında yaklaşık 40 saldırı gerçekleştiğini ve yaklaşık 400 milyon dolar çalındığını belirtiyor. Ortalama saldırı tutarı, önceki yılın aynı dönemindeki yaklaşık 30 milyon dolardan 10,5 milyon dolara düşmüştü. Rapor yayımlandığında mağdurlar çalınan tutarın yarısından fazlasını geri almıştı.

Yazarlar, kripto saldırılarındaki yavaşlamanın kalıcı bir düşüşün kanıtı olmadığını vurguladı. Büyük birkaç olay toplamı ciddi biçimde değiştirebilir. 2022’nin üçüncü çeyreğindeki sakinliğin ardından son çeyrekte yeniden artış görülmesibuna örnekti. Chainalysis’in Şubat 2023 raporu, 2022’de çalınan değeri 3,8 milyar dolar olarak bildirmişti. Bu tutar rekoruydu; mutlaka en fazla saldırı sayısı anlamına gelmiyordu. Daha sonraki tahminler güncellenebilir.

Blokzincir istihbarat şirketi Chainalysis, Şubat 2023 raporunda Mart ve Ekim 2022’de belirgin artışlar olduğunu, Ekim ayında 775,7 milyon dolar çalındığını ve bunun 32 ayrı saldırıya yayıldığını açıkladı. TRM Labs, 2023’ün ilk çeyreğindeki düşüşü tek bir kanıtlanmış nedene bağlamadı. Tornado Cash yaptırımlarının ve Avraham Eisenberg hakkındaki işlemlerin caydırıcı olabileceğini bir olasılık olarak değerlendirdi.

Tornado Cash yaptırımlarına karşı dava: 2023 süreci ve sonraki değişiklik

Eisenberg, Mango Markets olayına ilişkin iddialar nedeniyle Aralık 2022’de Porto Riko’da tutuklandı. SEC’nin Ocak 2023’teki hukuk davası menkul kıymet dolandırıcılığı ve piyasa manipülasyonu iddialarına ilişkindi. Emtia suçlamaları ise ayrı CFTC işlemi ve Adalet Bakanlığının ceza dosyasıyla ilgiliydi. Mango Markets de 47 milyon dolar tazminat talep etti. Bunlar o tarihteki iddia ve taleplerdi; bir mahkûmiyet kararı değildi.

OFAC, Tornado Cash’i Ağustos 2022’de yaptırım listesine aldı ve Kuzey Kore bağlantılı saldırganların para aklamasına yardımcı olduğunu ileri sürdü. Altı kullanıcı yaptırımlara karşı dava açtı. Daha sonra ABD Hazinesi, 21 Mart 2025’te Tornado Cash üzerindeki ekonomik yaptırımları kaldırdı. Bu değişiklik bütün bireysel ceza davalarının sona erdiği anlamına gelmez.

Coinbase’in desteğini alan davacılar, Hazinenin özellikle değiştirilemez akıllı sözleşmeler üzerindeki yaptırım yetkisine itiraz etti. Bağlantılı belge, 24 Mayıs 2023 tarihli kısmi özet hüküm talebini destekleyen yanıt dilekçesidir . Eylül 2022’deki ilk dava dilekçesi veya bir temyiz kararı değildir. Belge, belirli talepler hakkında duruşma yapılmadan hüküm verilmesini isteyen davacıların savlarını içerir; bu savlar mahkemenin kabul ettiği bulgular gibi sunulmamalıdır.

Pertsev’in savunması Chainalysis yöntemlerini sorguladı

Alexey Pertsev, Ağustos 2022’de Hollanda’da kara para aklama soruşturması kapsamında tutuklandı. Nisan 2023’teki koşullu salıverilmesi beraat değildi. Daha sonra Oost-Brabant mahkemesi, 14 Mayıs 2024’te ilk derece kararında beş yıl dört ay hapis cezası verdi. Bu tarihsel bilgi, bugünkü temyiz veya tutukluluk durumuna ilişkin bir iddia değildir.

Mayıs 2023 haberine göre avukatı Keith Cheng, müvekkilini suç gelirlerine bağlayan delillere itiraz etti ve mali suç soruşturmacılarının açıklamalarını sorguladı. Mahkeme, Chainalysis’in yöntemleri hakkında yalnızca yazılı soru yöneltilmesine izin verdi. Avukat delilleri kabul veya itiraf etmedi; bunların geçerliliğine karşı çıktı.