Uluslararası finansal siber ceza hukuku standartlarında; DeFi (Decentralized Finance) ekosisteminde gerçekleşen fon kayıpları iki ana kategoride değerlendirilir. Küresel içtihatlar; sistemik kod hataları, yazılım zafiyetleri ve piyasa koşullarından kaynaklanan sermaye kayıplarını özel hukuk/teknik ihmal olarak nitelendirirken; likiditenin aniden çekilmesi (Rug Pull), kod düzeyinde gizli kapı (Backdoor/Exit Scam) bırakılması veya sahte işlem hacmi (Wash Trading) oluşturulmasını doğrudan dolandırıcılık ve finansal suç kabul eder.
Türk Ceza Mevzuatındaki Hukuki Karşılıklar
DeFi ve akıllı sözleşme projelerinde fonların sıfırlanması veya çekilmesi eylemleri Türk Ceza Kanunu (TCK) çerçevesinde suçun manevi unsuru (kast/taksir) yönünden ayrıma tabi tutulur:
TCK m. 158/1-f (Bilişim Sistemlerinin Araç Olarak Kullanılması Suretiyle Nitelikli Dolandırıcılık): Akıllı sözleşmeye (Smart Contract) kasten gizli kod ekleyerek, kullanıcılara likiditenin kilitli olduğunu beyan edip gerçekte yetki anahtarını (Admin Key) elinde tutarak fonları çalan geliştiriciler hakkında 4 yıldan 10 yıla kadar hapis ve adli para cezasına hükmolunur.
TCK m. 244/4 (Bilişim Sistemi Aracılığıyla Haksız Çıkar Sağlama): Bir bilişim sisteminin işleyişini etkileyerek, verileri değiştirerek veya sisteme yetkisiz müdahalede bulunarak kendisine veya başkasına haksız yarar sağlayan kişi 2 yıldan 6 yıla kadar hapis cezası ile cezalandırılır.
Kasten Dolandırıcılık (Rug Pull): Proje sahibinin yatırımcıları yanıltma niyetiyle sahte hacim oluşturması, kodlama aşamasında satışı engelleyici (Honeypot) mekanizmalar kurması halidir.
Taksir / Teknik İhmal: Projedeki kod zafiyeti veya mantık hatası nedeniyle dışarıdan bir korsanın (Hacker) sistemi istismar etmesi (Flash Loan Attack vb.) durumunda, geliştirici bakımından kasten işlenen bir suç oluşmaz; hukuki sorumluluk Borçlar Hukuku hükümleri kapsamında değerlendirilir.
Soruşturma ve Yargılama Sürecinde Kritik Teknik Savunma Adımları
A. Akıllı Sözleşme (Smart Contract) Blokzincir ve Adli Bilişim İncelemesi Soruşturma aşamasında projenin kaynak kodları (Solidity, Rust vb.) ve blokzincir üzerindeki işlem geçmişi (On-Chain Forensics) CMK m. 134 kapsamında incelenmelidir. Fonların çekilme işleminin proje ekibinin adreslerine mi (Deployer/Admin Wallet) gittiği, yoksa yetkisiz bir dış müdahale ile mi gerçekleştiği tespit edilmelidir.
B. Suç Kastının (Dolus) Tespiti ve “White-Hat” Ayrımı Geliştiricinin saptanan güvenlik açığını kapatmak amacıyla müdahale edip etmediği, kod denetim (Audit) raporlarının bulunup bulunmadığı ve yatırımcılara verilen taahhütlerin teknik karşılığı değerlendirilmelidir. Risk bildirimi (Whitepaper / Disclaimer) yapılmış projelerde sermaye kaybının piyasa dalgalanmasından kaynaklanması halinde beraat kararı verilmelidir.
C. Anonimlik (Pseudonymity) ve İz Sürümü Merkeziyetsiz cüzdanlar üzerinden yapılan transferlerin karıştırma servisleri (Tornado Cash vb.) veya borsa KYC verileri ile ilişkilendirilmesi sürecinde iddia makamının sunduğu zincirleme izlerin hukuka uygun elde edilip edilmediği denetlenmelidir.
Sıkça Sorulan Sorular
Yatırım yaptığım bir DeFi projesinde likidite havuzu bir anda boşaltıldı ve param sıfırlandı. Ceza davası açılabilir mi?
Cevap: Evet. Eğer proje geliştiricileri likiditeyi kilitli gösterip arka planda sözleşme yetkilerini kullanarak fonları kendi cüzdanlarına aktardıysa bu bir “Rug Pull” eylemidir. TCK m. 158/1-f uyarınca Cumhuriyet Başsavcılığına nitelikli dolandırıcılık suç duyurusunda bulunulabilir.
Yazdığım akıllı sözleşmedeki bir kod hatası yüzünden hacklendik ve kullanıcılar zarar gördü. Hapse girer miyim?
Cevap: Siber atak neticesinde yaşanan kayıplarda kasten hareket ettiğinize dair somut delil yoksa dolandırıcılık veya bilişim suçu oluşmaz. Kod hatası veya teknik yetersizlik “ihmal” niteliğinde olup adli ceza sorumluluğu doğirmaz; hukuki sorumluluk Borçlar Hukuku hükümleri kapsamında değerlendirilir.
Uluslararası finansal siber ceza hukuku standartlarında DeFi ekosisteminde gerçekleşen fon kayıpları hangi kategorilerde incelenir?
Cevap: Küresel içtihatlar; sistemik kod hataları, yazılım zafiyetleri ve piyasa koşullarından kaynaklanan sermaye kayıplarını özel hukuk/teknik ihmal olarak nitelendirirken; likiditenin aniden çekilmesi (Rug Pull), gizli kapı bırakılması veya sahte işlem hacmi oluşturulmasını doğrudan dolandırıcılık ve finansal suç kabul eder.
Akıllı sözleşmeye kasten gizli kod eklenerek yetki anahtarının elde tutulması ve fonların çalınması hangi cezai yaptırıma tabidir?
Cevap: TCK m. 158/1-f (Bilişim Sistemlerinin Araç Olarak Kullanılması Suretiyle Nitelikli Dolandırıcılık) kapsamında, akıllı sözleşmeye kasten gizli kod ekleyerek yetki anahtarını (Admin Key) elinde tutan ve fonları çalan geliştiriciler hakkında 4 yıldan 10 yıla kadar hapis ve adli para cezasına hükmolunur.
TCK m. 244/4 kapsamında bilişim sistemi aracılığıyla haksız çıkar sağlama suçu DeFi projelerinde nasıl tanımlanır?
Cevap: Bir bilişim sisteminin işleyişini etkileyerek, verileri değiştirerek veya sisteme yetkisiz müdahalede bulunarak kendisine veya başkasına haksız yarar sağlayan kişi 2 yıldan 6 yıla kadar hapis cezası ile cezalandırılır.
Projedeki mantık hatası nedeniyle dışarıdan bir korsanın (Hacker) Flash Loan Attack ile sistemi istismar etmesi suç oluşturur mu?
Cevap: Geliştirici bakımından kasten işlenen bir suç oluşmaz; çünkü eylem dışarıdan bir saldırgan tarafından gerçekleştirilmiştir ve geliştiricinin hatası teknik ihmal düzeyindedir.
DeFi dolandırıcılığı soruşturmalarında akıllı sözleşmeler ve blokzincir verileri hangi yöntemlerle incelenmelidir?
Cevap: Soruşturma aşamasında projenin kaynak kodları (Solidity, Rust vb.) ve blokzincir üzerindeki işlem geçmişi (On-Chain Forensics) CMK m. 134 kapsamında incelenmeli; fonların deployer veya admin cüzdanlarına gidip gitmediği tespit edilmelidir.
DeFi projelerinde geliştiricinin suç kastının (Dolus) tespiti ve “White-Hat” / risk bildirimi savunması nasıl yapılır?
Cevap: Geliştiricinin saptanan zafiyeti kapatmaya çalışıp çalışmadığı, kod denetim (Audit) raporlarının varlığı ve Whitepaper/Disclaimer gibi risk bildirimleri değerlendirilir. Piyasa dalgalanmalarından kaynaklanan kayıplarda beraat kararı verilmelidir.
Merkeziyetsiz cüzdanlar üzerinden yapılan transferlerin izi sürülürken karıştırma servisleri (Tornado Cash vb.) nasıl ele alınır?
Cevap: Karıştırma servisleri veya borsa KYC verileri ile ilişkilendirme süreçlerinde, iddia makamının sunduğu zincirleme izlerin hukuka uygun yöntemlerle elde edilip edilmediği titizlikle denetlenmelidir.
Akıllı sözleşme zafiyetleri ve DeFi tabanlı nitelikli dolandırıcılık davalarında uzman ceza avukatının rolü nedir?
Cevap: Uzman ceza avukatı, on-chain analizleri ve kaynak kodları bilirkişi incelemeleriyle koordine ederek kasıt unsuru ile teknik ihmal arasındaki çizgiyi netleştirir ve müvekkilini haksız cezai yaptırımlardan korur.