Pyongyang soyar, faturayı kim öder?

Mecelle'nin küllî kaidelerinden biri, seksen yedinci madde, dört kelimeden ibarettir: "Mazarrat menfaat mukabelesindedir." Yani bir şeyin nimetinden yararlanan, zararına da katlanır. Ahmed Cevdet Paşa'nın heyeti bu cümleyi yazarken aklında sıcak cüzdan yoktu elbette; ama bu hafta Binance haberlerini okurken o eski kaidenin ne kadar genç kaldığını düşündüm.

Olgular şöyle: FBI 29 Ekim'de, Binance'in sıcak cüzdanlarından çalınan 6 milyar doları aşan varlığı Kuzey Kore'ye bağlı TraderTraitor grubuna atfetti. Tether, Circle ve diğerleri yaklaşık 2,85 milyar doları zincir üzerinde dondurdu. Binance TR ise 30 Ekim'de kullanıcı varlıklarının güvende olduğunu, alım satımın ve TL işlemlerinin sürdüğünü, yalnızca kripto çekimlerinin tedbiren durdurulduğunu duyurdu. Manşette bir devlet var; benim gözüm ise dipnotta, hukuki dipnotta.

Türk hukukunda bu dipnot boş değil. 7518 sayılı Kanunla 2024'te Sermaye Piyasası Kanunu'na eklenen 99/B maddesinin dördüncü fıkrası, kripto varlık hizmet sağlayıcılarını her türlü siber saldırı ve bilgi güvenliği ihlalinden doğan kripto varlık kayıplarından Türk Borçlar Kanunu'nun 71. maddesi kapsamında sorumlu tutuyor. Yetmiş birinci madde tehlike sorumluluğudur: uzman birinden beklenen bütün özen gösterilse bile sıkça veya ağır zarar doğurabilecek işletmenin sahibi, kusur aranmaksızın sorumludur. Şirketten tazmin mümkün olmazsa platform mensupları da kusurları ölçüsünde sorumluluğa ortak olur. Kanun koyucu borsayı bu sepete bilerek koymuştur.

Saldırganın bir devlet olması tabloyu değiştirir mi? Önümüzdeki aylarda "mücbir sebep" kavramının çok zorlanacağından şüphem yok. Kanaatim daha sadedir: TraderTraitor adı güvenlik dünyasına bu soygunla girmedi; borsaları hedef aldığı bilinen bir aktörün saldırısını öngörülemez saymak zor. Sıcak cüzdan zaten o riskin ta kendisidir. Aynı fıkranın bir inceliği de var: platformun kusuru olmaksızın yaşanan kesintiler, geçici olarak transfer yapılamaması gibi hâller bu sorumluluğun dışında tutulmuş. Tedbiren durdurulan çekimler bu yüzden ayrı bir hesapta değerlendirilir; yeter ki platform kusursuz olduğunu gerçekten gösterebilsin.

Bir de bildirim meselesi var. 19 Mart 2025'te yürürlüğe giren 7545 sayılı Siber Güvenlik Kanunu'nun 7. maddesi, bilişim sistemleriyle hizmet sunanlara tespit ettikleri siber olayları gecikmeksizin Siber Güvenlik Başkanlığına bildirme yükümlülüğü getiriyor; 16. madde bu yükümlülüğe uymayanlar için bir milyondan on milyon liraya kadar idari para cezası öngörüyor. Olay kişisel verilere uzanmışsa KVKK'nın 12. maddesi, ilgililere ve Kurula "en kısa sürede" bildirimi şart koşuyor. Kanunlarımız saat saymıyor; bu esneklik iyi niyetliye nefes, ihmalkâra bahane olur.

Jeopolitik tarafı ise başka bir ders veriyor. Dondurulan milyarlar, bir yaptırım rejiminin ağırlığını artık yalnız devletlerin değil, stablecoin ihraç eden özel şirketlerin de taşıdığını gösteriyor. Uluslararası hukuk Pyongyang'a ulaşamıyor; kod ise birkaç saat içinde cüzdanlara ulaşabiliyor. Hukuk teknolojinin arkasından koşar, doğru; ama bazen koşuyu teknolojinin kendi araçlarıyla yapar.

Kripto işiyle uğraşsın uğraşmasın, bugün CIO ve CISO'ların yönetim kuruluna söylemesi gereken cümle şu: "Saldırgan bir devletti" savunması bizi kurtarmaz. Asıl koruma, olaydan önce yazılmış belgelerdir: üretim erişimli cihazlara ve sırlara dair iç kontrollerin kayda geçirilmesi, 7545 ve KVKK'ya göre kimin kime hangi saatte bildirim yapacağının bugünden imzalanmış bir planla belirlenmesi. Nimeti paylaşan, külfetin belgesini de hazır tutmalıdır.