Dijital Varlıklar
WazirX, Büyük Siber Saldırının Ardından Zorlu Bir Mücadeleyle Karşı Karşıya: Şu An Nerede?
Hindistan kripto para borsası WazirX’in 230 milyon dolar değerinde hacklenmesinin üzerinden üç ay geçti ve bu, tüm müşteri varlıklarının %40’ından fazlasının kaybına yol açtı.
Bu, Hindistan’ın kripto endüstrisi için büyük bir şok ve kayıp oldu; blockchain analitik firması Chainalysis’in ‘2024 Global Crypto Adoption Index’ine göre, 151 ülke arasında toplam kripto benimseme oranı bakımından birinci sırada yer alıyor. Bu, dünyanın en kalabalık ülkesi için üst sıraları ikinci yıl üst üste elde etmesi anlamına geliyor.
Hindistan’ın da içinde bulunduğu Orta ve Güney Asya ve Okyanusya (CSAO) bölgesinden gelen girişlerin, Temmuz 2023 ile Haziran 2024 arasında 570 milyar dolar olduğu bildirildi. Rapor, CSAO’nun yerel kripto borsalarında, DeFi’de ve ticari hizmetlerde yüksek aktivite seviyeleri kaydettiğini gösteriyor.
Hindistan’ın kripto sektörü ise büyük ölçüde düzenlenmemiş durumda. Yine de kripto faaliyetlerinden elde edilen sermaye kazançlarına %30 vergi uygulanıyor ve her işlemde %1 kaynakta kesinti (TDS) alınıyor. Kriptoyla uğraşan firmaların ise Ulusal Finansal İstihbarat Birimi’nden (FIU) lisans almaları gerekiyor.
Bu düzenlemelere rağmen, Hindistan’da kriptoyla ilgili dolandırıcılık ve hack olayları artmaya devam ediyor. Örneğin, yatırımcılar X platformunda Bitbns gibi FIU kayıtlı borsaların çekimleri kısıtlamasından şikayet ediyor ve müşteri fonlarının güvenliği konusunda endişe yaratıyor. Bu arada, bir başka FIU kayıtlı borsa olan WazirX, boğa piyasası sırasında gerçekleşen bir hackte kullanıcı fonlarını kaybetti.
Bir zamanlar Hindistan’ın önde gelen kripto borsalarından biri olan WazirX, 18 Temmuz’da gerçekleşen büyük bir siber saldırının sonuçlarıyla sarsılıyor.
Peki, bu süre zarfında tam olarak neler oldu? WazirX son üç ay içinde ne gibi bir ilerleme kaydetti, varsa? Hadi bakalım!
Bir Özet: Son 3 Ayda Gerçekleşenler
Özetlemek gerekirse, WazirX’e ait çoklu imzalı bir cüzdan hacklendi. Bu cüzdan, dijital varlık saklama şirketi Liminal hizmetleriyle yönetiliyordu.
Hack günü, WazirX saldırının, gerçek işlem içeriği ile Liminal’in arayüzünde gösterilenler arasındaki bir “uyumsuzluk” nedeniyle gerçekleştiğini iddia etti. Borsa daha sonra Liminal ile ilişkisini sonlandırdı ve fonları yeni çoklu imzalı cüzdanlara transfer etti.
WazirX, ardından Google’un bir yan kuruluşu olan Mandiant Solutions’ı, işlemleri imzalayan dizüstü bilgisayarların adli analizini yapmak için görevlendirdi. Araştırma, hack sırasında WazirX cihazları ve sistemlerinin kompromize edildiğine dair bir kanıt bulamadı. Bu arada, Liminal, denetim devi Grant Thornton’ı kendi analizini yapması için devreye soktu ve saklama sağlayıcısını herhangi bir suçtan akladı.
Her iki şirket de sorumluluktan kaçınmak için güvenlik hatalarını birbirine attırırken, kullanıcılar servetlerini kaybederek büyük bir hayal kırıklığı yaşadı.
Çalınan miktar 230 milyon dolar olup, WazirX’in Haziran başında bildirdiği 503,64 milyon USDT’lik varlıkların %45,6’sına tekabül ediyor. Çalınan varlıklar arasında Ethereum (ETH), Tether (USDT), Pepe (PEPE) ve Gala Games (GALA) bulunuyordu.
Kayıp varlıkları farklı yargı bölgelerinde aklamakla tanınan Kuzey Kore Lazarus Grubu gibi devlet destekli aktörlerin WazirX ihlalinde rol aldığı şüphe ediliyor.
Hacker, çalınan tüm fonların aklamasını zaten tamamladı. Arkham verileri, fonların ilk olarak Ağustos ayında hareket etmeye başladığını ve hackerların geçen ay aktiviteyi artırdığını gösteriyor.
Kayıp fonları aklamak için hacker, fonların kaynağını gizleyen kripto karıştırıcı Tornado Cash’i kullandı. Gizlilik hizmeti, çalınan fonları hareket ettirirken çevrimiçi izlerini temiz tutmak için suçlular tarafından yaygın olarak kullanılıyor. Tornado Cash’in geliştiricisi Alexey Pertsev, Hollandalı bir yargıç tarafından kara para aklamadan suçlu bulunarak beş yıl dört ay hapis cezasına çarptırıldı.
WazirX’e geri dönersek, hack sonrası borsa tüm kripto ve fiat, yani Hint Rupisi (INR) çekimlerini durdurdu ve kullanıcıları mağdur etti. O zamandan beri WazirX, duyurdu kademeli ve sınırlı INR çekimlerini, uygun kullanıcıların “INR bakiyelerinin %66’sına kadar çekim yapabileceğini” belirtti.
Kısmi INR çekimleri yeniden başlatılmış olsa da, WazirX cüzdan bakiyelerini konsolide edip kullanıcı erişimini geri kazanmaya çalıştığı için kripto çekimleri hâlâ askıya alındı. Sanal bir basın konferansında, firmanın danışmanları WazirX’in sermayenin yalnızca %55-57’sini geri verebileceğini paylaştı.
Varlık kurtarma konusunda, borsa başlangıçta kaybedenlerin varlıklarının yarısından biraz fazlasını alırken kalan varlıkların kilitlendiği bir “Sosyalize Edilmiş Kayıp Stratejisi” önerdi. Bu plan, WazirX’in hacklendiği Temmuz ayının sonunda ortaya konuldu ve borsa, kullanıcıları ve rakiplerinden yoğun eleştiri aldı.
O zamandan beri, WazirX kurtarma planları, borsanın canlı rezerv kanıtı ve bilinmeyen faillerin kimliği konusunda güncellemeler sunmakta yavaş davrandı.
Rakip CoinSwitch ile 9,7 milyon dolar tutarındaki kilitli fonlar üzerindeki hukuki anlaşmazlıklar da süreci karmaşıklaştırdı. CoinSwitch, kilitli fonları geri almak için WazirX’e dava açtı; borsaya göre bu, tüm fonlarının yaklaşık %2’ine eşdeğer.
“Olayın gününden itibaren, WazirX ekibiyle sürekli iletişim kurmaya çalıştık ve borsalarında kilitli kalan fonların geri alınmasını talep ettik. Ancak çabalarımız sonuç vermedi ve fonları geri almak için yasal yola başvurmaktan başka seçeneğimiz kalmadı.”
– CoinSwitch, 28 Ağustos’ta yaptığı bir gönderide yazdı
Ticaret platformu, kullanıcıların kripto varlıklarının tam olarak teminatlandırılmasını sağlamak için kendi hazinesini kullandığını iddia etti.
Kurtarma: Borç Yeniden Yapılandırma Sürecini Takip Etmek
Uzun bir bekleyişin ardından, borsa varlık kurtarma planlarını duyurdu; bu planları ‘Singapur Düzenleme Şeması’ olarak takip edecek. Bu, WazirX yönetiminin bir borç yeniden yapılandırma önerisi sunacağı ve kullanıcıların mahkeme onaylamadan önce onayı oylayacağı anlamına geliyor.
Büyük bir adım olmasına rağmen, net bir zaman çizelgesi verilmedi ve bu durum WazirX kullanıcılarını şaşırttı ve öfkelendirdi. WazirX blog gönderisine göre, yeniden yapılandırma planının şartlarını değerlendirmek ve ilgili paydaşlarla çalışmak için en az 6 ay öngörülüyor.
Kullanıcılar, WazirX’in konuyu yabancı bir mahkemeye taşıma kararından da şaşkınlık duydu. Buna yanıt olarak, Eylül ayının sonlarında borsa, X (eski adıyla Twitter) üzerinde bir video yayınladı ve iki kuruluş üzerinden faaliyet gösterdiğini açıkladı: Singapur’da kayıtlı Zettai ve Hint bir kuruluş olan Zanmai; Zanmai INR’den kriptoya işlemleri yönetiyor.
Hack, kripto ve tokenları yöneten Zettai üzerinde gerçekleştiği için, borsa davayı Singapur’da açtı.
Ayrıca, Kasım 2019’da Zettai’nin kripto cüzdanlarını ve tokenlarını dünyanın önde gelen kripto borsası Binance’e transfer ettiğini açıkladı; bu adım, platformun mülkiyet ve kontrolünün Binance’e geçtiği bir satın almanın ardından gerçekleşti, WazirX’in yayınladığı video iddia ediyor. Ancak 2022’de Binance, WazirX’ten açıkça uzaklaştı ve bu durum Zettai ile Binance arasında bir anlaşmazlığa yol açtı; sonuçta fonlar tekrar Zettai’ye geri transfer edildi.
Zanmai, ihlaldan etkilenmediği için, firma tüm INR kullanıcı bakiyelerini karşılayacak yeterli fonlara sahip. Buna rağmen, borsa daha önce “bu bakiyelerin hepsi şu anda çekilebilir değil” şeklinde bir açıklama yapmış ve yaklaşık %34’ünün dondurulduğunu ve bu yüzden çekilemez olduğunu eklemişti.
Firmanın hâlâ devam eden anlaşmazlıkları ve yetkililerin soruşturmaları, dondurulan fonların nedeni olarak gösteriliyor. Ancak WazirX, Zanmai’nin bu soruşturmaların hedefi olmadığını ve INR bakiyelerinin güvenli olduğunu iddia ediyor; ancak bu bakiyelerin ne zaman tamamen serbest bırakılacağı belirsiz.
Ağustos ayının sonlarında, WazirX Singapur mahkemesine yeniden yapılandırma başvurusunda bulundu ve işini yeniden yapılandırırken yasal süreçlerden geçici bir rahatlama sağlayacak bir moratoryum talep etti.
Hakim, WazirX’in bir moratoryum talep ederek adım attığını ve “iyi niyetle” hareket ettiğini belirtti; bu, kurucu ortağı Nischal Shetty’ye göre, firmanın “kreditorların token seçimi ve boğa koşusunda potansiyel kazanç elde edebileceği en hızlı, en adil, kreditor onaylı, yasal bağlayıcı çözüm yolunu” sağlayacak.
Üç hafta önce, Singapur mahkemesi borsaya talep ettiği altı aylık moratoryum yerine dört aylık bir moratoryum verdi.
Bu adım, WazirX’e göre, kripto bakiyelerinin en hızlı şekilde geri getirilmesi için yolu açıyor ve “tüm paydaşlar için adil ve zamanında bir sonuç sağlanmasını” temin ediyor.
Moratoryum ayrıca koşullarla birlikte geldi. Bu koşullar arasında, cüzdan adreslerini mahkeme beyanı aracılığıyla kamuya açıklamak, finansal bilgileri yayınlamak, mahkeme salonunda ortaya konan kullanıcı sorularına yanıt vermek ve gelecekteki mahkeme başvurularına yönelik oylamaların bağımsız taraflarca incelenmesini sağlamak yer alıyor.
https://www.youtube.com/live/DPT9VZ9yhE4
Dolayısıyla, WazirX, önerilen yeniden yapılandırma ve moratoryum başvurusunu kullanıcılarıyla tartışmak için Town Hall toplantıları düzenliyor.
“Mahkemenin kararına minnettarız; bu karar, çözüm, iyileşme ve yeniden yapılandırma yolumuza odaklanmamıza olanak tanıyor.”
– WazirX kurucu ortağı Shetty, o sırada söyledi
En Son: 240.000 Cüzdan ve Bakiye Listeleniyor
Bu ay, borsa Zettai’nin önerdiği yeniden yapılandırmada alacaklıların çıkarlarını temsil edecek bir Alacaklılar Komitesi (COC) oluşturmakla meşgul. 10 üyeli panel, hackten etkilenen kullanıcıları içerecek ve toplantılara katılacak, geri bildirim sağlayacak, ilerlemeyi izleyecek ve alacaklılar ile şirket arasındaki iletişimi kolaylaştıracak.
WazirX yeniden yapılandırması şu anda danışmanlık firması Kroll tarafından yönetiliyor ve çalınan varlıkları izlemek için web güvenlik firması zeroShadow hizmetlerinden yararlanılıyor.
“WazirX’te, şeffaflığın kullanıcılarımızla güven inşa etmenin ve sürdürmenin anahtarı olduğuna her zaman inanıyoruz.”
– Borsa, Çarşamba günü X’te yazdı
Resmi açıklamasında, WazirX, Singapur Yüksek Mahkemesine sunulacak ve alacaklılara verilecek bir beyana işaret etti; bu beyan, bakiyeli yaklaşık 240.000 cüzdanın detaylarını içeriyor.
Kullanıcıların tutulan cüzdan sayısının büyüklüğünü sorgulayabileceği beklentisiyle, borsa bu durumun yaklaşık 4,3 milyon kullanıcıya hizmet veren bir platform için standart bir uygulama olduğunu açıkladı. Bu kadar büyük bir kullanıcı tabanını yönetmek, çeşitli cüzdan adreslerinden oluşan karmaşık bir ağ gerektiriyor ve bu da kullanıcılara sorunsuz bir deneyim sunmayı amaçlıyor, diye ekledi.
WazirX ayrıca, cüzdanların çoğunun zaten konsolide edildiğini ve yaklaşık 240.000 cüzdanda token bakiyesi kaldığını paylaştı. Ancak borsa, kalan adreslerden token bakiyelerini konsolide etme sürecinde; bu sürecin çok zaman aldığını ve ağ ücretlerini içerdiğini, sürecin acele edilirse bu ücretlerin de artacağını belirtti.
“Önceliğimiz, bu süreci maliyetleri artırmadan verimli bir şekilde yönetmek, fonlarınızın güvende kalmasını ve geri alımlarınızın optimize edilmesini sağlamaktır.”
– WazirX
Şimdi, sonraki adımlarda, borsa müşteri varlıklarını nasıl yönettiği konusunda güven ve güvenliği daha da artırmak için Proof of Reserves (POR) tanıtacak. Bu adım, token varlıklarının üçüncü taraf saklama hizmeti sağlayıcıları ve hizmet sağlayıcılarıyla kapsamlı bir şekilde konsolide edilmesini içeriyor.
Borsa yeniden yapılandırma sürecine ilerlerken, binlerce kullanıcıya hatalı e-postalar göndererek sorunlarla karşılaştı. Onay e-postası, şirketin moratoryumunu gayri resmi bir anketle destekleyenlere gönderilmek üzere hazırlanmıştı, ancak WazirX bu e-postayı yasal süreçlerden geçici bir rahatlamayı desteklemeyen kullanıcılara da gönderdi.
“Zettai’ye, moratoryumu daha önce desteklediğini belirten kullanıcılara yönelik bir e-postanın, destek göstermeyen yaklaşık 9.000 ek platform kullanıcısına yanlışlıkla gönderildiği fark edildi.”
– Şirket, bir transkriptte açıklamış
Bu durum kullanıcılar arasında karışıklığa yol açtı ve şirket, bunun anket sürecine olan kullanıcı güvenini “etkilemiş” olabileceğini kabul etti.
WazirX, kullanıcıların moratoryum başvurusunu destekleyip desteklemediklerini ölçmek için bir anket dağıttı. Anket başlangıçta yalnızca bir seçenek sunuyordu; bu, yasal prosedürü olumlu şekilde desteklediğini onaylamaktı. Ancak mahkemenin yönlendirmesiyle, borsa anketi birden fazla seçenek ekleyerek karşıtlık ve başvuruya karşı tutum belirtme seçeneklerini de içerir hâle getirdi.
İleriye Dönük Yol: Hukuki ve Finansal Zorluklar Ortasında
Planlanan yeniden yapılandırması kapsamında, WazirX müşterilerinin varlıklarının yaklaşık yarısını geri vermeyi ve hack’in etkisini kullanıcılar arasında dağıtarak mevcut kripto varlıkların “orantılı” bir payını almalarını sağlamayı umuyor.
Tüm bunlar olurken, borsa aynı zamanda sektördeki birden fazla oyuncuyla görüşmeler yapıyor ve finansmana yardımcı olacak bir “beyaz şövalye” arıyor.
“Sahip olmadığını iddia ettiğiniz bir şeyi satabilir misiniz? Sahipliği tartışmalı ve ED tarafından FEMA ihlalleri nedeniyle soruşturulan bir şirkete birisi yatırım yapabilir ya da satın alabilir mi? 16 milyon kullanıcının kârlı verilerine rağmen, kimse bu işe karışmak istemez.”
– Yerel bir medya rapor etti ki başka bir kripto borsasının kurucusu şöyle demiş
Beyaz şövalyelerle iş birliğinin yanı sıra, platform yeniden açılan borsalardan elde edilen kâr paylaşımı ve yeni gelir getirici girişimler aracılığıyla kullanıcı fonlarının geri kazanımını iyileştirmeye çalışıyor.
Bu arada, WazirX memnuniyetsiz kullanıcıların açtığı hukuki davalarla karşı karşıya. 18 Ekim’de Delhi Yüksek Mahkemesi, hem etkilenen hem de etkilenmeyen kullanıcıların fonlarını birleştirerek kayıpları telafi etmeyi amaçlayan bir WazirX yatırımcısının dilekçesini dinledi; dilekçeyi sunan, bu durumun fonları zarar görmemiş yatırımcıları olumsuz etkilediğini belirtti.
Dilekçe sahibi ilgili makama başvurmuş olmasına rağmen hiçbir işlem yapılmadı; dilekçe sahibi, konunun hükümetteki ‘memurların’ dahil olması nedeniyle takip edilmeyeceği konusunda sözlü olarak bilgilendirildiğini iddia etti.
Mahkeme şimdi polisleri soruşturma yapıp rapor sunmaya yönlendirdi ve borsaya karşı herhangi bir yasal sürecin medeni bir mesele olacağını belirtti. Ayrıca şikayetlerin bir dilekçe yoluyla değil, medeni bir mahkemede ele alınması gerektiği sonucuna vardı.
Tüm bunların ortasında, borsa kurucuları hack ve kripto varlık hırsızlığıyla ilgili tüm gerekli bilgileri sağlamak üzere hükümet yetkilileriyle görüşmeler yapıyor.
Yetkililer şunları içeriyordu:
- Maliye Bakanlığı’na bağlı FIU, şüpheli finansal işlemlerle ilgilenir
- Maliye Bakanlığı’na bağlı İstihbarat Bürosu (IB), güvenlik ve kontra istihbaratı inceler
- Hindistan Bilgisayar Acil Durum Müdahale Ekibi (CERT-In), siber güvenlik tehditlerini ele alır
Genel olarak, WazirX hack’i Hindistan kripto sektörünü derinden sarstı. Olay, sadece borsaların siber saldırılar karşısındaki kırılganlıklarını vurgulamakla kalmadı, aynı zamanda Hindistan’da kripto benimsemesinde lider konumda olan ancak düzenleyici netlik ve müşteri koruması konusunda ciddi şekilde geri kalmış dijital varlık endüstrisinin durumunu da ortaya koydu.
Borsa finansal ve itibar zararlarından kurtulmaya çalışırken, yeniden yapılandırma çabaları kullanıcıları için bir umut ışığı sunuyor. Ancak bu şu an sadece bir umut. WazirX’in hukuki anlaşmazlıklarla, kullanıcı memnuniyetsizliğiyle ve mülkiyet konusundaki belirsizlikle karşı karşıya olması, iyileşme yolunun hiç de sorunsuz olmadığını gösteriyor.
Önümüzdeki birkaç ay, WazirX’in güveni yeniden inşa edip Hindistan’ın hızla büyüyen kripto pazarındaki konumunu geri kazanıp kazanamayacağını ya da sektörde bir başka uyarı hikayesi haline gelip gelmeyeceğini belirlemede kritik olacak.
En iyi custodian olmayan cüzdanların listesi için buraya tıklayın.
