Güney Kore vergi dairesinden kripto fiyaskosu: Basın bülteninde paylaşılan seed phrase ile 4 milyon PRTG taşındı

26’sında (yerel saatle), Güney Kore Ulusal Vergi Servisi’nin(NTS) ‘vergi borçlusu takibi’ başarısını göstermek için paylaştığı basın bültenindeki tek bir fotoğraf, büyük bir skandala dönüştü. Amaç, ‘el konulan kripto paraları’ göstermekti; ancak fotoğrafta yer alan kâğıt üzerinde, donanım cüzdanın ‘kelime’(niyemonik/seed phrase) ifadesi olduğu gibi göründü ve yaklaşık 4,8 milyon dolar (yaklaşık 694 milyar won, 1 dolar=1.446 won kabulüyle) değerindeki tokenların dışarıya aktarılmış olabileceği iddia edildi.

Söz konusu basın bülteninde, Ledger donanım cüzdanı ile el yazısıyla yazılmış ‘kelime’ notu yan yana çekilmiş halde yer aldı. Cüzdanı geri yükleyip varlıkları başka adrese taşımaya yarayan bu ifade, adeta ‘kelime’ bir ‘master anahtar’ işlevi görüyor. Ancak fotoğrafta hiçbir ‘bulanıklaştırma’ ya da maskeleme yapılmadı.

Yerel basına (Naver, Chosun vb.) göre bu bülten, vergi borçlularına yönelik denetim ve tahsilat sürecinde ele geçirilen varlıklara örnek sunmak amacıyla hazırlanmıştı. Böylece vergi idaresi, el koyduğu kripto paraları, operasyon başarısının somut ‘kanıtı’ olarak göstermeye çalışırken, ‘kritik bir güvenlik hatası’ işlemiş oldu.

Sonuçta, devletin yaptırım gücünü sergilemek için hazırlanan bir kare, pratikte birilerinin bu varlıklara erişebilmesine yarayan bir ‘kelime’ bütününü hediye eden görüntüye dönüştü.

On-chain(“blokzincir üzerindeki”) işlem kayıtlarını inceleyen araştırmacılar, ilgili cüzdana üç ayrı işlemle toplam 4 milyon PRTG(Pre-Retoken Gold, PRTG) tokenının girdiğini, ardından tek bir işlemle bakiyenin tamamının başka bir adrese taşındığını tespit etti.

Bu kadar kısa sürede, ‘girişler’ ardından ‘tek seferde tam bakiyenin çıkışı’ şeklindeki temiz ve hızlı akış, ‘kelime’ bilgisini ele geçiren üçüncü tarafın cüzdanı kurtarıp, ardından bir ‘sweep’(tüm bakiyenin başka adrese taşınması) işlemi yaptığı ihtimalini güçlendiriyor.

Han Sung Üniversitesi Blockchain Araştırma Merkezi’nden doçent Jo Jae-woo, X’te(önceki adıyla Twitter) yaptığı paylaşımda, 4 milyon PRTG transferinin Ulusal Vergi Servisi basın bülteninde görünen ‘kelime’ ile bağlantılı cüzdandan gerçekleştiğini ‘açıkça doğruladığını’ belirtti. Aynı fotoğrafta ‘ek olarak risk altında olabileceği’ iddia edilen diğer cüzdanları da kontrol ettiğini, ancak bu adreslerde şu an için ciddi bir risk sinyali görmediğini ekledi.

Buna karşın Jo, PRTG’nin ‘likiditesi düşük’ veya ‘nakde çevrilmesi zor’ bir token yapısına sahip olabileceğini, bu nedenle haberlerde yer alan dolar bazlı tahmini değere kıyasla ‘kelime’ üzerinden gerçekleşen fiili parasal zararın daha düşük kalabileceğini ifade etti. ‘Yorum’Bu, tokenin borsalarda sınırlı işlem görüyor olması veya satışın fiyatı kolayca bastıracak kadar büyük olması gibi nedenlere dayanabilir.yorum

Jo, bu olayın, kamu kurumlarının el koyduğu kripto varlıkları saklama ve yönetme süreçlerindeki zayıflıkları çıplak biçimde ortaya koyduğunu, bu yüzden gelecek dönemde özellikle ‘el konulan dijital varlıklar için özel depolama altyapısı ve iç kontrol mekanizmaları’ kurulması gerektiğini vurguladı.

Ulusal Vergi Servisi, şu ana kadar ‘kelime’ bilgilerinin ifşası ve varlıkların taşınması iddiaları hakkında resmi bir açıklama yayımlamadı.

Bu skandalın bu kadar ‘büyük tepki’ çekmesinin bir nedeni de, benzer saklama zaaflarının daha önce de tekrarlanmış olması. Basına yansıyan bilgilere göre Güney Kore polisi, 2026 Şubat’ında, 2021’deki bir siber saldırı davası kapsamında ele geçirilip el konulan 22 adet Bitcoin(BTC)in, Seul Gangnam Emniyet Müdürlüğü kasasında tutulduğu belirtilen bir ‘cold wallet’ten kaybolduğunu tespit etti.

Soruşturma makamları, bu Bitcoin(BTC)lerin, kolluk birimlerinin kontrolünde olmayan bir ‘kelime’ aracılığıyla başka adreslere aktarıldığından şüphelendi ve iki şüpheliyi yakaladı; ancak coinler o aşamada çoktan uzaklaştırılmıştı. O dönem için toplam değerin yaklaşık 1,4 milyon dolar (yaklaşık 202 milyar won) olduğu bildirildi.

Piyasa çevrelerinde, ‘el konulan kripto varlıkların’ giderek artmasıyla, özellikle ‘saklama, devir ve erişim yetkileri’ne ilişkin ‘temel kontrol mekanizmaları’ oluşturulmadığı sürece benzer olayların tekrar tekrar yaşanabileceğine dair kaygı güçleniyor. ‘Yorum’Kurumsal düzeyde çoklu imza, kurumsal saklama hizmetleri ve bağımsız denetim standartları olmadan kamu otoritelerinin kendi başına kripto varlık tutmasının ciddi yapısal riskler taşıdığı vurgulanıyor.yorum