Giriş
Stabilcoinler son yıllarda hızlı bir büyüme sergiledi. Bu sonuç olarak, düzenleyici kurumlar giderek daha fazla yasadışı fonların dondurulmasına olanak tanıyan mekanizmalara duyulan ihtiyacı vurgulamaktadır. USDT ve USDC gibi başlıca stabilcoinlerin bu tür yetenekleri bünyelerinde barındırdığını gözlemlemekteyiz. Pratikte, kara para aklama ve diğer yasadışı faaliyetlerle bağlantılı fonların başarıyla dondurulduğu çok sayıda vaka yaşanmıştır.
Üstelik araştırmamız, stabilcoinlerin yalnızca kara para aklamada değil, aynı zamanda terör örgütlerinin finansmanında da sıklıkla kullanıldığını ortaya koymaktadır. Bu nedenle bu blog, konuyu iki perspektiften incelemeyi amaçlamaktadır. İlk olarak, dondurulmuş USDT işlemlerini sistematik biçimde analiz ediyoruz. İkinci olarak, dondurulmuş fonların terörün finansmanıyla nasıl ilişkili olduğunu araştırıyoruz.
Sorumluluk Reddi: Bu analiz yalnızca kamuya açık verilere dayanmaktadır ve hatalar içerebilir. Herhangi bir yorum veya düzeltmeniz varsa lütfen [email protected] adresinden bizimle iletişime geçin.
USDT Engellenen Adresler Analizi
Veri Toplama
Kara listedeki Tether adreslerini tespit etme ve takip etme metodolojimiz, doğrudan zincir üstü olay izlemeye dayanmaktadır. Tether'ın akıllı sözleşme kaynak kodu aracılığıyla doğrulanan süreç şu şekildedir:
- Olay tespiti: Tether'ın akıllı sözleşmesinin kara listesini, bir adres eklendiğinde AddedBlackList ve bir adres çıkarıldığında RemovedBlackList olmak üzere iki özel olay yayımlayarak yönettiğini belirledik.
- Veri seti oluşturma: Çıkarılan veriler, kapsamlı bir zaman serisi veri seti oluşturmak için kullanılmaktadır. Kara listedeki her adres için şu alanları kaydediyoruz: adresin kendisi, kara listeye alınma zaman damgası (blacklisted_at) ve varsa kara listeden çıkarılma zaman damgası (unblacklisted_at).
function addBlackList (address _evilUser) public onlyOwner {
isBlackListed[_evilUser] = true;
AddedBlackList(_evilUser);
}
function removeBlackList (address _clearedUser) public onlyOwner {
isBlackListed[_clearedUser] = false;
RemovedBlackList(_clearedUser);
}
event AddedBlackList(address indexed _user);
event RemovedBlackList(address indexed _user);Bulgular
Ethereum ve Tron blok zincirlerindeki Tether (USDT) verilerine ilişkin analizimiz çarpıcı bir eğilimi ortaya koymaktadır. 1 Ocak 2016'dan bu yana toplamda 5.188 adres kara listeye alınmış ve 2,9 milyar doları aşan varlıkların dondurulmasına yol açmıştır.
Yalnızca 13–30 Haziran 2025 tarihleri arasında 151 adres kara listeye alınmış; bunların %90,07'si Tron ağında yer almaktadır (Adres listesi). Bu kısa dönemde dondurulan toplam değer şaşırtıcı bir biçimde 86,34 milyon dolara ulaşmıştır.
- Kara listeye alma olaylarının zamansal dağılımı: Kara listeye alma faaliyetinde 15, 20 ve 25 Haziran'da zirveler gözlemlenmiş; 20 Haziran en yüksek sayıya ulaşmıştır: tek bir günde 63 adres kara listeye alınmıştır.
- Adreslere göre dondurulmuş varlık dağılımı: En yüksek dondurulmuş bakiyeye sahip ilk 10 adres, toplamda 53,45 milyon dolar tutmakta olup bu, toplam miktarın %61,91'ine karşılık gelmektedir. Ortalama dondurulmuş tutar (571.760 ABD Doları), medyan değerden (40.010 ABD Doları) önemli ölçüde yüksektir; bu durum, birkaç yüksek değerli adresin baskın olduğu, buna karşın çoğunluğun görece küçük dondurulmuş bakiyelere sahip olduğu çarpık bir dağılıma işaret etmektedir.
- Yaşam boyu değer dağılımı: Bu adreslere yapılan toplam tarihsel girişler 807,76 milyon dolar tutarındadır; bunun 721,43 milyon doları uygulama öncesinde transfer edilmiş, 86,34 milyon doları ise dondurulmuştur. Bu durum, fonların büyük çoğunluğunun kara listeye alınmadan önce muhtemelen taşındığına işaret etmektedir. Özellikle, kara listedeki adreslerin %17'sinin giden işleminin bulunmadığı dikkat çekmektedir; bu durum, söz konusu adreslerin geçici depolama veya toplama noktaları olarak kullanılmış olabileceğine işaret etmekte ve gelecekteki soruşturmalarda daha kapsamlı bir inceleme yapılmasını gerektirmektedir.
- Yeni oluşturulan hesaplar kara listeye alınmaya en yatkın olanlardır: Kara listedeki tüm adresler arasında %41'i yeni oluşturulmuş hesaplardır (< 30 günlük faaliyet süresine sahip), %27'si orta vadeli faaliyetler göstermiştir (91–365 gün) ve yalnızca %3'ünün uzun vadeli kullanım geçmişi vardır (≥ 730 gün). Bu durum, yeni kurulan hesapların orantısız biçimde hedef alındığını göstermektedir.
- Çoğu hesap "dondurma öncesi çıkış" sağlamaktadır: Kara listedeki adreslerin yaklaşık %54'ü, kara listeye alınmadan önce fonlarının büyük çoğunluğunu zaten transfer etmiş durumdadır (yaşam boyu çıkışların toplam girişlerin ≥ %90'ı olarak tanımlanır). Ayrıca, %10'u dondurulduğunda sıfır bakiyeye sahipti. Bu örüntüler, uygulama eylemlerinin genellikle yalnızca yasadışı akışların artık değerini yakaladığına; varlıkların büyük çoğunluğunun çoktan aklandığına ya da transfer edildiğine işaret etmektedir.
- Yeni hesaplarda yüksek aklama verimliliği: AkışOranı ile AktifGün karşılaştırmalı dağılım grafiği, daha yeni hesapların yalnızca sayı ve kara listeye alınma sıklığı açısından değil, aynı zamanda en yüksek aklama verimliliğini sergileyerek tespit ve uygulama öncesinde fonları etkin biçimde transfer ettikleri açısından da baskın olduğunu ortaya koymaktadır.
Paranın İzini Sürmek
MetaSleuth, 13 Haziran ile 30 Haziran arasında USDT tarafından engellenen 151 Tether kara listeli adresin izlenmesini mümkün kılarak soruşturmamızı güçlendirdi; bu sayede söz konusu adreslerle ilişkili hem kilit fon sağlayıcılarını hem de nihai varış noktalarını tespit ettik.
Fonlar Nereden Geldi
- İç Kontaminasyon (91 adres): Adreslerin önemli bir kısmı diğer kara listedeki adreslerden fon almıştır; bu durum, son derece iç içe geçmiş bir aklama ağının varlığına işaret etmektedir.
- Sahte Kimlik Avı Etiketleri (37 adres): Pek çok kaynak, MetaSleuth üzerinde "sahte kimlik avı" olarak etiketlenmiştir; bu durum, yasadışı faaliyeti gizlemek ve tespiti engellemek amacıyla yanıltıcı etiketleme taktiklerinin kullanıldığına işaret etmektedir.
- Borsa Sıcak Cüzdanları (34 adres): Fon kaynakları arasında bilinen borsa sıcak cüzdanları yer almaktadır—Binance (20), OKX (7) ve MEXC (7)—bu durum, girişlerin merkezi borsalardaki ele geçirilmiş hesaplardan veya katır cüzdanlarından kaynaklanmış olabileceğini ima etmektedir.
- Tek Baskın Dağıtıcı (35 adres): Tek bir kara listedeki adres, kaynak akış olarak tekrar tekrar karşımıza çıkmış ve muhtemelen yasadışı varlıkları dağıtmak amacıyla merkezi bir fon toplayıcı ya da mikser işlevi üstlenmiştir.
- Zincirler Arası Giriş Noktaları (2 adres): Bazı fonlar zincirler arası köprülerden kaynaklanmış olup fon akışında zincirler arası aklama mekanizmalarının da kullanıldığını göstermektedir.
Fonlar Nereye Gitti
- Diğer Kara Listedeki Adreslere (54): Bu örüntü, ağ içindeki dahili aklama döngüsünün varlığını pekiştirmektedir.
- Merkezi Borsalara (41): Fonlar, Binance (30), Bybit (7) ve diğerleri dahil olmak üzere merkezi borsalardaki yatırım adresleri aracılığıyla çıkışa yönlendirilmiştir.
- Zincirler Arası Köprülere (12): TRON ekosisteminin ötesinde varlıkları aklamaya yönelik girişimlere ve zincirler arası transfer mekanizmalarından yararlanılmasına işaret etmektedir.
Dikkat çekici biçimde, Binance ve OKX gibi borsalar işlem akışının her iki tarafında da yer almaktadır—giriş kaynağı olarak (sıcak cüzdanlar aracılığıyla) ve çıkış hedefi olarak (yatırım adresleri aracılığıyla)—bu durum, fon hareketindeki merkezi rollerinin altını çizmektedir. Yetersiz AML/CFT uygulaması ile varlık dondurma işlemlerindeki gecikmeler, düzenleyici önlemler devreye girmeden önce yasadışı transferlerin gerçekleşmesine zemin hazırlamış olabilir.
Kripto para borsalarının, temel giriş ve çıkış noktaları olarak, bu tür riskleri proaktif biçimde azaltmak için daha güçlü izleme, tespit ve engelleme mekanizmaları benimsemelerini öneriyoruz.
Terörün Finansmanı Analizi
Terörün finansmanıyla potansiyel olarak bağlantılı USDT faaliyetlerine ilişkin daha derin içgörüler edinmek amacıyla, İsrail'in Terörün Finansmanıyla Mücadele Ulusal Bürosu (NBCTF) tarafından çıkarılan İdari El Koyma Emirleri başta olmak üzere resmi belgeleri inceledik. Tek bir veri kaynağının tam bir tablo ortaya koyamayacağının farkında olsak da bu veri setini, terörün finansmanına dahil olabilecek USDT miktarının muhafazakâr bir alt sınırını anlamak için temsili bir vaka çalışması olarak kullanıyoruz.
Bulgular
NBCTF yayınlarının incelenmesi sonucunda birkaç önemli bulguya ulaşıldı:
- El Koyma Emirlerinin Zamanlaması: 13 Haziran 2025'te İsrail-İran geriliminin tırmanmasından bu yana yalnızca bir yeni el koyma emri çıkarılmıştır; bu emir 26 Haziran tarihlidir. Bundan önce, en son emir 8 Haziran'da çıkarılmış olup artan gerilime karşın dikkat çekici bir gecikmeye işaret etmektedir.
- 7 Ekim 2024'ten Bu Yana Sıklık ve Hedefleme: İsrail-Filistin çatışmasının patlak vermesinden bu yana sekiz el koyma emri yayımlanmıştır. Bunlardan dördü açıkça "Hamas"ı hedef olarak belirtirken, yalnızca biri—en sonuncusu—"İran"dan söz etmektedir.
- Hedef Alınan Varlıkların Kapsamı: Birleşik emirler, aşağıdakiler dahil olmak üzere geniş bir varlık yelpazesini hedef almıştır:
- 76 USDT (Tron) adresi
- 16 BTC adresi
- 2 Ethereum adresi
- 641 Binance hesabı
- 8 OKX hesabı
76 USDT Tron adresine ilişkin zincir üstü soruşturmamız, Tether'ın NBCTF el koyma emirlerine kıyasla verdiği tepkiye dair kritik bir operasyonel içgörü ortaya koymuştur. İki farklı örüntü belirmiştir:
- Proaktif Kara Listeye Alma: Tether, ilgili el koyma emirlerinin kamuoyuna duyurulmasından önce Hamas bağlantılı 17 adresi zaten kara listeye almıştı. Bu önleyici eylemler ortalama 28 gün öncesinde gerçekleşmiş olup en erken örnek, resmi yayından 45 gün önce yaşanmıştır.
- Hızlı Tepki: Kamuoyuna duyurulduğu sırada henüz kara listede yer almayan diğer adresler için Tether hızlı biçimde harekete geçmiştir. El koyma emrinin ardından kara listeye alma için geçen ortalama süre 2,1 gündür; bu durum, resmi emirlere verilen tepkide hızlı bir operasyonel dönüşü ortaya koymaktadır.
Bu bulgular, stabilcoin ihraççıları (Tether) ile kolluk kuvvetleri arasında yakın ve bazı durumlarda önleyici bir iş birliğinin varlığına işaret etmekte; kripto para birimlerinin düzenleyici ve güvenlik denetiminin tamamen dışında işlediğine dair yaygın kanıya meydan okumaktadır.
Sonuç ve AML/CFT Zorlukları
Soruşturmamız, USDT gibi stabilcoinlerin işlem şeffaflığı ve kontrolü için güçlü araçlar sunduğunu ortaya koyarken, aynı zamanda kara para aklamayla mücadele (AML) ve terörün finansmanıyla mücadele (CFT) uygulamaları açısından yeni zorluklar da doğurduğunu göstermektedir. İç içe geçmiş aklama döngülerinin, zincirler arası gizlemenin, gecikmiş uygulama eylemlerinin ve merkezi borsaların istismarının varlığı, mevcut uyum ekosistemindeki sistemik güvenlik açıklarını gözler önüne sermektedir.
Öne çıkan bazı temel zorluklar şunlardır:
- Reaktif ile Proaktif Uygulama: Tether her ne kadar hem proaktif hem de reaktif kara listeye alma davranışı sergilemiş olsa da AML/CFT eylemlerinin büyük çoğunluğu hâlâ sonradan alınan önlemlere dayanmakta; bu durum yasadışı aktörlerin müdahale gerçekleşmeden önce önemli miktarda fon transfer etmesine olanak tanımaktadır.
- Borsalardaki Kör Noktalar: Merkezi borsalar, aklama hattının kritik bir parçası olmayı sürdürmekte ve çoğu zaman hem giriş hem de çıkış noktaları olarak karşımıza çıkmaktadır. Bu geçitlerdeki yetersiz izleme ya da yavaş tepki süreleri, şüpheli akışların büyük ölçüde engelsiz devam etmesine zemin hazırlamaktadır.
- Zincirler Arası Aklama Karmaşıklığı: Köprülerin ve çok zincirli altyapının kullanımı izlenebilirliği güçleştirmektedir; yasadışı aktörler uyum denetimlerini aşmak için giderek daha az düzenlenmiş ekosistemleri ve köprü tabanlı gizleme yöntemlerini kullanmaktadır.
Bu sorunların üstesinden gelmek için ekosistem katılımcılarının—özellikle stabilcoin ihraççılarının, borsaların ve düzenleyicilerin—iş birliğine dayalı istihbarat paylaşımını güçlendirmelerini, gerçek zamanlı davranışsal analitiğe yatırım yapmalarını ve zincirler arası uyum çerçeveleri uygulamalarını tavsiye ediyoruz. Stablecoin ekosisteminin meşruiyetini ve güvenliğini etkin biçimde koruyabilmek için ancak zamanında, koordineli ve teknik açıdan gelişmiş AML/CFT çabalarıyla bu hedefe ulaşmak mümkündür.
BlockSec'in Çalışmaları
BlockSec olarak, kripto ekosisteminin güvenliğini ve düzenleyici dayanıklılığını geliştirme konusundaki kararlılığımızı sürdürmekteyiz. Kara Para Aklamayla Mücadele (AML) ve Terörün Finansmanıyla Mücadele (CFT) alanındaki çalışmalarımız, uygulanabilir istihbarat sağlamayı, proaktif tespiti ve izlenebilir uygulama mekanizmalarını mümkün kılmaya odaklanmaktadır.
İlk olarak, Phalcon Uyum platformumuz, borsaların, düzenleyicilerin, finansal kurumların ve kripto projelerinin (kripto ödemeler ve DEX dahil) şüpheli faaliyetleri gerçek zamanlı olarak tespit etmesine yardımcı olacak şekilde tasarlanmıştır. Birden fazla zincirde zincir üstü risk puanlaması, işlem izleme ve adres taraması sunarak kurumların uyum gereksinimlerini karşılamasına destek olmaktadır.
Bununla paralel olarak, çevrimiçi soruşturma aracımız MetaSleuth, hem analistlere hem de kamuoyuna sezgisel görselleştirmeler ve zincirler arası takip imkânı sunarak yasadışı fon akışlarını izleme olanağı tanımaktadır. MetaSleuth, finansal düzenleyiciler, kolluk kuvvetleri ve küresel danışmanlık firmaları dahil olmak üzere dünya genelinde 100'den fazla uygulama ve uyum ajansı tarafından kullanılmaktadır.
Bu araçlar, misyonumuzu birlikte yansıtmaktadır: merkeziyetsiz finansal sistemin bütünlüğünü korurken blok zinciri şeffaflığı ile düzenleyici uygulama arasındaki boşluğu kapatmak.
