ZachXBT’den Axiom Exchange İfşası: İçeriden Bilgiyle İşlem ve Kullanıcı Verisi Skandalı

온라인에서 günlerdir dolaşan iddiaların ardından, blokzincir araştırmacısı ZachXBT(잭엑스비티), kripto para borsası Axiom Exchange(액시엄 익스체인지) hakkında ‘içeriden bilgi ile işlem’ ve çalışanların iç verileri kötüye kullanmasına ilişkin bulgularını yayımladı. ZachXBT, yaşananların basit bir skandal değil, borsanın ‘kullanıcı bilgisi koruma sistemi’ni kökünden sarsan bir ‘erişim kontrolü başarısızlığı’ örneği olduğunu savundu.

ZachXBT, X’te (eski Twitter) paylaştığı gönderi dizisinde Broox Bauer(브룩스 바우어·X hesabı @WheresBroox) isimli çalışanı iddiaların merkezindeki kişi olarak işaretledi. Bauer’in New York’ta görev yapan kıdemli iş geliştirme çalışanı olduğu belirtildi. Anlatılanlara göre Bauer ve çevresindeki kişiler, iç araçlardaki yetersiz erişim kısıtlamalarını kullanarak hassas kullanıcı verilerine ulaşmak, gizli cüzdan hareketlerini takip etmek ve bu bilgileri kendi ‘işlem kararlarında’ kullanmakla suçlanıyor. ZachXBT, söz konusu faaliyetlerin ‘2025 yılının başından’ bu yana sürmüş olabileceğini öne sürdü.

Hazırlanan rapora eklenen bir ses kaydında, Bauer olduğu iddia edilen bir kişi, yalnızca referans kodu, cüzdan adresi ve iç kullanıcı ID’siyle Axiom müşterilerinin platform içi faaliyetlerinin takip edilebildiğini anlatıyor. Bir başka kayıtta aynı kişinin, belirli bir kullanıcı için “o kişiyle ilgili ‘ne istersen öğrenebilirsin’” anlamına gelen ifadeler kullandığı aktarılıyor. Yine paylaşılan parçalara göre Bauer, ilk aşamada 10–20 cüzdan üzerinden inceleme yaptığını, sonrasında ise “dikkat çekmemek” için kapsamı kademeli biçimde genişlettiğini söylüyor. Başka bir grup görüşmesinden alınan bölümde, cüzdan sorgulama talebi süreci ve takip edilen adreslerin tam listesini paylaşma vaadi de yer alıyor.

ZachXBT, iç dashboard’un gerçekten suistimal edilmiş olabileceğini gösteren bazı somut örnekler de sundu. Buna göre 2025 Nisan’ında Bauer’in, ‘Jerry(제리)’ takma isimli bir trader’a ait gizli cüzdan verilerini gösteren bir Axiom iç ekran görüntüsünü paylaştığı iddia edildi. 2025 Ağustos’unda ise ‘Monix(모닉스)’ adıyla anılan başka bir trader’ın kayıt bilgileri ve bağlı cüzdanlarını içeren görsellerin dolaşıma girdiği öne sürüldü. Aynı ay, Bauer’in AURA isimli bir memecoin’i alıp satan Axiom kullanıcılarını tespit etmeye dönük bir ‘lookup’ çalışmasını tartıştığına dair işaretler de raporda yer aldı.

Rapor, ek olarak, birden fazla kilit ‘opinion leader(KOL)’ hesabına ait cüzdan adreslerinin Google Sheet üzerinde listelendiğini ortaya koydu. Belgede, bu kişilerin adreslerinin Axiom’un iç dashboard’u üzerinden toplanan verilerle eşleştirilmiş (‘mapping’) halde tutulduğu belirtildi. ZachXBT, hem bu listede görünen hem de sızan ekran görüntülerinde kimliği ayrıştırılabilen bazı KOL’lerle doğrudan temas kurduğunu, aralarından birkaçının “görülen cüzdan adreslerinin kendilerine ait olduğunu” bağımsız şekilde doğruladığını söyledi.

Araştırmacı, olayın yalnızca bireysel ‘kural ihlali’ olarak görülmemesi gerektiğini, asıl sorunun borsa içindeki ‘izleme ve kısıtlama mekanizmalarının’ fiilen çalışmaması olduğunu vurguladı. ‘Cal(칼)’ ve ‘Mist(미스트)’ takma adlı, yönetici seviyesinde olduğu düşünülen kişilerin bu eylemlerden haberdar olup olmamasından bağımsız olarak, ‘hassas kullanıcı verilerine erişen personel üzerinde etkin bir kontrol bulunmadığı’ iddiası öne çıkarıldı. Özellikle Bauer’in New York’ta ikamet edip çalışmasının, dosyanın ABD Adalet Bakanlığı’na bağlı New York Güney Bölge Savcılığı(SDNY) yetki alanına girebileceği ihtimalini güçlendirdiği yorumu yapıldı. ZachXBT, sürecin ceza davasına dönüşüp dönüşmeyeceğinden bağımsız şekilde, Axiom kurucu ortaklarının kapsamlı bir iç soruşturma başlatması ve erişim yetkilerini kötüye kullandığı tespit edilen çalışanlara karşı ‘hukuki adım’ dahil her seçeneği değerlendirmesi gerektiğini belirtti.

Tartışmayı daha da alevlendiren bir başka iddia ise ‘önceden pozisyon alma’ şüphesi oldu. Ayrı bir ihbara göre, ZachXBT’nin içerden öğrenenlerin ticareti iddialarını kamuya açıklamasından yaklaşık 3 saat önce, yeni açılmış iki cüzdanda toplam 59.800 dolar (yaklaşık 85,61 milyon won, $1=1.431,80 won varsayımıyla) büyüklüğünde riskli işlemler yapıldı ve bu pozisyonlardan daha sonra yaklaşık 109.000 dolar (yaklaşık 156,06 milyon won) tutarında kâr elde edildi. Piyasada, ‘ayrıcalıklı bilginin doğrudan işleme dönüştürülmüş olabileceği’ yönündeki şüpheler artıyor.

Genel kripto para piyasasının toplam değeri yaklaşık 2,3 trilyon dolar seviyesinde hesaplanırken, Axiom Exchange çevresinde büyüyen bu tartışma, ‘iç kontrol’ ve ‘kullanıcı verisinin korunması’ başlıklarının borsa güvenilirliğinin en kritik belirleyicileri arasında olduğunu bir kez daha öne çıkarıyor. ‘Kullanıcı mahremiyeti’, ‘erişim yetkisi yönetimi’ ve ‘şeffaf iç soruşturmalar’, sektör geneli için yeniden temel gündem maddeleri haline geliyor.