JSON Kripto Transferleri

“Tokenleştirilmiş Dosyalar” Kullanan Sahte Dijital Varlık Transferi Dolandırıcılıkları

IFB International Finance Bank – Dolandırıcılığın Önlenmesine İlişkin Duyuru

International Finance Bank (“IFB”), “tokenize edilmiş JSON dosyaları”, “kripto host alıcıları”, “banka uç noktaları”, “cüzdan aktivasyon protokolleri” veya benzeri uydurma terimler aracılığıyla gerçekleştirildiği iddia edilen yüksek tutarlı dijital varlık transferlerini içeren dolandırıcılık girişimlerinde artış gözlemlemiştir.

Bu düzenekler yalnızca USDT ile sınırlı değildir. Aynı dolandırıcılık modeli Bitcoin, Ethereum, stabil kripto paralar, tokenlaştırılmış varlıklar, merkez bankası dijital para birimi iddiaları, özel blokzincir paraları, sarmalanmış (wrapped) varlıklar, altın karşılıklı olduğu öne sürülen tokenlar veya “banka kalitesinde” ya da “kurumsal” olarak nitelendirilen kurgusal dijital araçları da içerebilir.

Terminoloji değişir. Dolandırıcılığın kurgusu aynı kalır.

Bir dosya, sertifika, kod, ekran görüntüsü, cüzdan ekranı, API mesajı veya özel bir “host”, dijital varlıkların mülkiyetini tek başına kanıtlayamaz ve bu varlıkları devredemez. Meşru bir dijital varlık transferi; ilgili cüzdanın kontrolünü, geçerli bir kriptografik imzayı, ilgili blokzincire veya takas ağına iletimi ve bağımsız doğrulamayı gerektirir.

Temel Yanıltıcı Beyan

Dolandırıcılar sıklıkla dijital varlıkların bir dosyanın gönderilmesi, yüklenmesi veya “barındırılması” yoluyla transfer edilebileceğini öne sürer. Söz konusu dosya JSON, XML, şifrelenmiş, tokenleştirilmiş, kodlanmış, defter destekli, akıllı sözleşme özellikli veya banka onaylı olarak nitelendirilebilir.

Bu, teknik olarak doğru değildir.

Bir veri dosyası bilgi içerebilir. Adresler, üst veriler, işlem şablonları, ekran görüntüleri, uydurma bakiyeler veya keyfi iddialar içerebilir. Tek başına bir cüzdan, saklama hesabı, bankacılık aracı veya takas mekanizması değildir.

Dijital varlıklar, bir dosya taşındıklarını belirttiği için hareket etmez. Yalnızca, varlıkları kontrol eden taraf tarafından yetkilendirilen ve ilgili ağ tarafından kabul edilen geçerli bir işlemle hareket eder.

Meşru Dijital Varlık Transferleri Nasıl Gerçekleşir

Gerçek bir dijital varlık takasında belirleyici kanıt bir belge ya da bir vaat değildir. Doğrulanabilir kontrol ve doğrulanabilir icradır.

Gönderen, ilgili cüzdanı veya saklama hesabını kontrol etmelidir. İşlem usulüne uygun biçimde yetkilendirilmelidir. Halka açık bir blokzincirinde bu, genellikle ağa yayımlanan kriptografik olarak imzalanmış bir işlem anlamına gelir. İşlem kabul edildikten sonra, ilgili blokzincir gezgini veya kurumsal saklama kaydı üzerinden bağımsız olarak incelenebilir.

Kurumsal faaliyetlerde bu teknik katman yalnızca başlangıç noktasıdır. Usulüne uygun icra; kimlik doğrulaması, yaptırım taraması, fon kaynağı analizi, servet kaynağı incelemesi, işlem izleme, hukuki ehliyet kontrolleri ve uyum onayını da gerektirir. Büyük tutarlı işlemler; hız, aciliyet veya etkileyici terminoloji ile meşru hâle getirilemez.

Yaygın Uyarı İşaretleri

Bu yaklaşımlar sıklıkla “bank crypto host”, “host receiver”, “endpoint wallet”, “tokenised file”, “wallet release code”, “gas tranche”, “ledger activation”, “private blockchain encashment” veya “beneficiary wallet registration” gibi uydurma terimler kullanır.

Bu tür ifadeler genellikle gerçek saklamanın, gerçek cüzdan kontrolünün ve gerçek takas mekanizmalarının yokluğunu gizlemek için kullanılır.

Sıkça görülen bir diğer uyarı işareti de banka altyapısına ilişkin bilgilerin, IP adreslerinin, sunucu uç noktalarının, cüzdan erişiminin veya özel teknik verilerin talep edilmesidir. Bu unsurlar, olağan bir blokzincir transferinin alınması için gerekli değildir. Bu nitelikteki talepler sosyal mühendislik, kimlik avı (phishing), siber keşif veya yetkisiz erişim girişimine işaret edebilir.

Dolandırıcılar ayrıca sıklıkla, çoğu kez yüz milyonlarca veya milyarlarca tutara varan olağanüstü işlem büyüklüklerine atıfta bulunur. Ardından, alıcının teknik bilgileri paylaşması, ücret ödemesi veya kabul belgelerini imzalaması hâlinde işlemin saatler içinde tamamlanabileceğini vaat ederek yapay bir aciliyet duygusu yaratır. Bu, klasik bir baskı mimarisidir.

Bir diğer gösterge, mantıksız komisyon yapılarının kullanılmasıdır. Gerçek varlık sahipleri, yalnızca likit dijital varlıkları taşımak için tanınmayan aracılara olağanüstü yüzdeler ödemez. Asgari bir çabaya karşılık fahiş komisyon vaat eden bir teklifte ticari mantık çoğunlukla dolandırıcılığa dayanır.

Peşin Ücret Riski

Bu düzenlemelerin çoğu sonunda bir ödeme talebine yol açar. Ödeme; gas ücreti, aktivasyon maliyeti, uyum ücreti, kayıt ücreti, doğrulama bedeli, vergi borcu yoktur belgesi ücreti, serbest bırakma ücreti, sigorta teminatı, cüzdan finansmanı, ayna işlem veya likidite kanıtı olarak adlandırılabilir.

Bu adlandırmalar işin özünü değiştirmez. Mağdurdan, bağımsız olarak doğrulanabilir herhangi bir varlık devri gerçekleşmeden önce para ödemesi istenmektedir.

Hiçbir ihtiyatlı kurum, tanınmış saklama, bankacılık veya blokzincir prosedürleriyle doğrulanmamış dijital varlıklara iddia edilen erişim karşılığında, bilinmeyen karşı taraflara peşin ücret ödememelidir.

Belgeler Uzlaştırma Değildir

Dolandırıcı taraflar sıklıkla devir sözleşmeleri, banka yazıları, ekran görüntüleri, sertifikalar, kodlar, işlem tabloları, cüzdan çıktıları veya sözde uyum formları sunar.

Bu tür belgeler sahte, konuyla ilgisiz veya ticari açıdan anlamsız olabilir.

Bir belge bir işlemi destekleyebilir, ancak takasın yerine geçemez. Hukuki belgeler, bir dijital varlığın mevcut olduğunu, göndericinin üzerinde kontrol sahibi olduğunu, varlığın üzerinde herhangi bir ayni hak veya takyidat bulunmadığını, yasal bir kökene sahip olduğunu veya devredilebileceğini kanıtlamaz.

Dijital varlıklar bakımından asgari eşik; varlığın, cüzdanın veya saklama hesabının, kontrolü elinde bulunduran tarafın, işlem geçmişinin ve fonların yasal kaynağının bağımsız olarak doğrulanmasıdır.

IFB'nin Konumu

IFB, “tokenize edilmiş dosyalar”, “kripto barındırıcıları”, “banka uç noktaları”, “cüzdan aktivasyonu”, “özel nakde çevirme” veya benzeri yapılar içeren talep edilmemiş teklifleri, tanınmış hukuki, bankacılık, saklama ve blokzincir kanalları aracılığıyla bağımsız olarak doğrulanmadıkça yüksek riskli olarak değerlendirir.

IFB, doğrulanamayan dosyalara, ekran görüntülerine, özel kodlara, sunucu uç noktalarına veya gayriresmî aracı taahhütlerine dayanan dijital varlık tekliflerini kabul etmez.

IFB; bağımsız olarak doğrulanamayan işlemler için özel bankacılık altyapısı verilerini, sunucu uç noktası verilerini, cüzdan kimlik bilgilerini, özel anahtarları, tohum ifadelerini (seed phrase), ön ödemeleri veya kurumsal teyitleri sağlamayacaktır.

Koruyucu Tedbirler

Müşteriler ve karşı taraflar basit bir ölçüt uygulamalıdır: Varlıklar gerçekse, meşru saklama kayıtları veya zincir üstü kanıtlar aracılığıyla doğrulanabilir. Gönderen varlıkları kontrol ediyorsa, bu kontrolü kanıtlayabilir. İşlem hukuka uygunsa, gönderen tam kimlik bilgilerini, fon kaynağına ilişkin belgeleri ve uyum belgelerini sunabilir.

Bu tür bir kanıtı sunmayı reddetmek, esaslı bir uyarı işareti olarak değerlendirilmelidir.

Şüpheli yaklaşımlar, herhangi bir temas sürdürülmeden önce uyum, hukuk ve siber güvenlik ekiplerine iletilmelidir. İşlem resmen doğrulanana kadar hiçbir operasyonel veri, ödeme, imza veya cüzdan erişimi sağlanmamalıdır.

Özetle

Dijital varlık dolandırıcılığı giderek daha fazla teknik gösteriye dayanmaktadır. Dolandırıcılar, karmaşık bir dil, uydurma bankacılık rolleri ve düzmece dosya tabanlı prosedürler kullanarak gelişmişlik görüntüsü yaratmaktadır.

Temel ilkeler açıktır. Bir dosya, cüzdan değildir. Bir ekran görüntüsü, fon yeterliliği belgesi değildir. Bir sunucu uç noktası, uzlaşma kanalı değildir. Bir belge, blokzincir işlemi değildir. Olağanüstü komisyon vaadi, ticari meşruiyet anlamına gelmez.

Meşru dijital varlık transferleri doğrulanabilir, yetkilendirilmiş, mevzuata uygun ve denetlenebilirdir. Bu standartlardan kaçınan her teklif reddedilmelidir.

Bir JSON dosyası, bir bankanın dahili dijital varlık altyapısı içinde, yalnızca sıkı biçimde kontrol edilen koşullar altında meşru bir talimat yükü olarak işlev görebilir. Bu durumda JSON'un kendisi kripto para içermez veya aktarmaz. Yalnızca IFB'nin yetkili arka uç sistemleri tarafından yorumlanan yapılandırılmış işlem talimatlarını taşır.

Örneğin, bir IFB müşterisi bankada hâlihazırda doğrulanmış dijital varlık saklama hizmeti kullanıyorsa, bir JSON mesajı şu gibi verileri içerebilir:

• müşteri hesap tanımlayıcısı
• blokzincir ağı
• alıcı cüzdan adresi
• token türü
• işlem tutarı
• uyum referansları
• kriptografik imzalar
• API kimlik doğrulama verileri

Alındıktan sonra IFB'nin dahili sistemleri şunları doğrulayacaktır:

• müşteri kimlik doğrulaması
• cüzdan sahipliği
• hesap bakiyeleri
• AML/KYC uyumu
• yaptırım taraması
• işlem politikası limitleri
• iç yetkilendirme hakları

Tüm kontroller başarıyla tamamlanırsa, IFB'nin saklama altyapısı veya hazine cüzdan sistemi, bankanın güvenli özel anahtarlarını ya da saklama ortamını kullanarak gerçek bir blokzincir işlemi oluşturabilir. Fiili transfer, ancak IFB'nin yetkili imza altyapısının işlemi kriptografik olarak imzalayıp blokzincir ağına iletmesiyle gerçekleşir.

Temel ayrım şudur:

JSON dosyasının kendisi kripto varlık transferi gerçekleştirmez.

Banka, talimatı bağımsız olarak doğruladıktan sonra, saklama altında hâlihazırda tutulan varlıklardan gerçek bir blokzincir işlemi gerçekleştirerek kripto varlık transferini yapar.

Bu, geleneksel bankacılıktaki SWIFT mesajlaşmasına benzer. Bir SWIFT MT103 mesajı kendi başına para içermez. Bankacılık sistemlerinin fonları düzenlemeye tabi takas altyapısı üzerinden aktarmasına yol açan, kimliği doğrulanmış bir talimattır. Kurumsal dijital varlık sistemlerindeki JSON benzer bir koordinasyon (orkestrasyon) işlevi görebilir, ancak hiçbir zaman bağımsız bir hamiline yazılı araç olarak kullanılamaz.