Akıllı Sözleşme Hacklenmelerinde ve Kod Hatalarında Hukuki Sorumluluk: Yazılımcılar ve Akredite Denetim (Audit) Şirketleri

Blokzincir (Blockchain) teknolojisinin “değiştirilemezlik” (immutability) ilkesi, akıllı sözleşmelerin (smart contracts) en güçlü güvenlik argümanı iken, aynı zamanda en büyük finansal ve hukuki risk faktörüdür. Ağa bir kez yüklendikten sonra geriye dönük olarak düzeltilemeyen akıllı sözleşme kodlarında meydana gelen mantık hataları (bugs), tasarım kusurları veya siber saldırganlar tarafından açıkların suistimal edilmesi (hacklenmeler); DeFi (Merkeziyetsiz Finans) protokollerinde ve Web3 ekosisteminde milyarlarca dolarlık fon kayıplarına yol açmaktadır. Bu kayıpların ardından “Kod Kanundur” (Code is Law) siber felsefesi yerini borçlar hukuku ve tazminat hukuku realitelerine bırakmaktadır. Akıllı sözleşme zafiyetlerinden doğan zararlardan, kodu yazan bağımsız yazılımcıların / yazılım şirketlerinin ve kodun güvenliğini onaylayan akredite siber denetim (Audit) şirketlerinin hukuki sorumluluğu, siber hukukun en karmaşık uyuşmazlık alanlarından biridir.

1. Kodu Geliştiren Yazılımcıların ve Yazılım Şirketlerinin Hukuki Sorumluluğu

Bir akıllı sözleşmeyi tasarlayan, kodlayan ve blokzincir ağına dağıtan (deploy) yazılımcıların sorumluluğu, taraflar arasındaki sözleşmesel ilişkinin niteliğine göre şekillenir.

• Sözleşmesel Sorumluluk ve Eser Sözleşmesi (TBK m. 470 vd.): Bir şirket, akıllı sözleşme kodunun yazılması için bir yazılım firmasıyla veya bağımsız bir geliştiriciyle anlaşmışsa, aralarındaki ilişki kural olarak 6098 sayılı Türk Borçlar Kanunu kapsamında bir Eser Sözleşmesidir. Yazılımcı (yüklenici), iş sahibinin amacına uygun, hatasız ve güvenli bir ürün meydana getirmekle yükümlüdür.
• Ayıba Karşı Tekeffül (TBK m. 474): Kodda meydana gelen ve hacklenmeye sebebiyet veren kritik bir mantık hatası veya zafiyet (örneğin reentrancy açığı), eserin “ayıplı” olduğunu gösterir. İş sahibi; bu gizli ayıp nedeniyle doğan doğrudan zararlarının tazminini, kodun ücretsiz düzeltilmesini veya sözleşmeden dönmeyi talep edebilir.
• Özen Borcunun Sınırları ve “Açık Kaynak” İstisnası: Sözleşmesel bir ilişki olmaksızın, açık kaynaklı (open-source) olarak GitHub gibi platformlarda paylaşılan veya topluluk tarafından anonim geliştirilen akıllı sözleşmelerde durum farklıdır. Yazılımcı, kodun kullanımından ticari kazanç elde etmemiş ve garanti sunmamışsa; genel haksız fiil sorumluluğu (TBK m. 49) kapsamında ağır bir kasıt veya kusur ispat edilmedikçe, üçüncü kişilerin zararlarından şahsen sorumlu tutulamaz.

2. Akredite Denetim (Audit) Şirketlerinin Hukuki Sorumluluğu ve Güvence Sınırları

Akıllı sözleşmeler ağa yüklenmeden önce, Web3 dünyasında “Audit” olarak adlandırılan akredite siber güvenlik şirketleri tarafından kod ve mantık denetimine tabi tutulur. Bu şirketler denetim sonunda koddaki zafiyet düzeylerini (Düşük, Orta, Kritik) belirten bir “Audit Raporu” yayımlarlar. Ancak bu rapora rağmen sözleşmenin hacklenmesi durumunda denetim şirketinin sorumluluğu, borçlar hukukunun vekalet ve üçüncü kişiyi koruyucu etkili sözleşme teorileri çerçevesinde tartışılır.

• Özen Yükümlülüğü ve Vekalet Sözleşmesi (TBK m. 502 vd.): Audit şirketi ile protokolü geliştiren yapı arasındaki ilişki bir Vekalet Sözleşmesidir. Vekil, işi basiretli bir uzmanın göstermesi gereken mutlak özenle yerine getirmek zorundadır (TBK m. 506). Audit şirketi, denetim tarihinde sektörün bildiği yaygın zafiyetleri ve standart açıkları (örn. SWC Registry standartları) gözden kaçırmışsa, özen borcuna aykırılık gerekçesiyle sözleşmesel olarak sorumlu olur.
• Üçüncü Kişilere (Yatırımcılara) Karşı Sorumluluk: Audit raporları halka açık yayımlanır ve yatırımcılar (kullanıcılar) fona para yatırırken bu rapora güvenir. Denetim şirketinin ağır ihmali nedeniyle hatalı/temiz rapor verilen bir protokolün hacklenmesi durumunda; doğrudan sözleşme tarafı olmayan yatırımcılar, “Güven Sorumluluğu” (Vertrauenshaftung) veya “Üçüncü Kişiyi Koruyucu Etkili Sözleşme” ilkelerine dayanarak denetim şirketinden zararlarının tazminini talep edebilirler.
• Sorumluluktan Kurtulma Maddelerinin (Disclaimer) Geçerliliği: Audit şirketleri, raporlarının altına “Bu rapor bir finansal tavsiye değildir, siber güvenliği %100 garanti etmez” şeklinde katı sorumsuzluk kayıtları ekler. Ancak TBK m. 115/1 uyarınca, borçlunun ağır kusurundan ve kastından önceden sorumlu olmayacağına ilişkin sözleşmeler kesin olarak hükümsüzdür (batıldır). Dolayısıyla raporda gözle görülür fahiş bir kod hatasının atlanması ağır kusur sayılacağından, bu muafiyet maddeleri şirketi tazminattan kurtaramaz.

3. İspat Hukuku ve Dijital Delillerin Tespiti (Forensic Analytics)

Akıllı sözleşme uyuşmazlıklarında kusurun ve illiyet bağının tespiti, yüksek düzeyde teknik uzmanlık ve adli bilişim analizi gerektirir.

• Blokzincir Adli Bilişimi (On-Chain Forensics): Hack eyleminin gerçekleştiği an, saldırganın istismar ettiği akıllı sözleşme fonksiyonu ve fonların transfer edildiği cüzdan adresleri; blokzincir üzerinde şeffaf ve değiştirilemez birer delil olarak zaman damgasıyla sabittir.
• Kusur Analizinde Bilirkişilik: Mahkemeler; uğranılan zararın yazılımcının kodlama kusurundan mı, siber denetim şirketinin ihmalinden mi, yoksa sistemik/öngörülemeyen bir blokzincir ağ zafiyetinden mi (örn. ağ seviyesindeki %51 saldırıları) kaynaklandığını saptamak için kriptografik kod analizi yapabilen uzman bilişim bilirkişilerinden rapor almak zorundadır.

Sonuç

“Kod Kanundur” mottosu, teknik dünyada işlemlerin otomatik yürümesini sağlasa da; o kodun ürettiği haksız zararları temizleme misyonu yine geleneksel borçlar hukukuna aittir. Akıllı sözleşme tasarlayan yazılımcılar ve bunları denetleyen siber güvenlik şirketleri, üstlendikleri işin finansal hacmiyle orantılı olarak çok ağır birer tazminat riski altındadır. Sektörün yasal güvenceye kavuşabilmesi için; yazılım ve denetim şirketlerinin sözleşmelerindeki sorumluluk sınırlarını netleştirmeleri, siber risk sigortalarını (Professional Indemnity Insurance) Web3 dünyasına uyarlamaları ve uyuşmazlıkların çözümü için genel mahkemeler yerine akıllı sözleşme mimarisinden anlayan uzman kurumsal tahkim mekanizmalarını sözleşmelere entegre etmeleri kaçınılmaz bir profesyonel zorunluluktur.