Zcash 15 milyon doları dondurdu. Para kimin, kimse bilmiyor

6 Kasım 2026’da Zcash kripto parasının yaklaşık 15 milyon dolarlık kısmı harcanamaz hâle geldi. Bu paranın kime ait olduğunu kimse bilmiyor: ne geliştiriciler, ne borsalar, ne de ağın kendisi. Coin’ler, Zcash’in neredeyse tam on yıl önce açılan ilk gizli havuzu Sprout’ta duruyor. Saat 02:34 UTC’de ağ, Sprout’tan para çıkarmanın tek yolu olan eski tip transferi kabul etmeyi kesti. O anda havuzda 12.224 ZEC vardı. Sprout sahipleri ve tutarları gizlemek için tasarlandığından dışarıdan tek bir sayı görünüyor: toplam bakiye.

Daha da tuhafı, dondurmadan önce yaşananlar. Mart 2026’da aynı havuzda 25.424 ZEC bulunuyordu ve geliştiriciler bu coin’leri temelli kaybolmuş sayıyordu. Önceki on beş ayda bakiye neredeyse hiç kıpırdamamıştı. Sonra havuza bir kapanış tarihi verildi ve birkaç ay içinde coin’lerin yarısı çıkıp gitti. Herkesin ölü sandığı para meğer sadece bekliyormuş.

Şenlik ateşinde doğan para

Zcash 28 Ekim 2016’da, görünmezlik modu olan bir tür bitcoin olarak doğdu. Bitcoin’de her transfer herkese açıktır: gönderenin adresi, alıcının adresi, tutar. Zcash’te ise coin’leri bir “korumalı havuza” taşıyabiliyordunuz: ağın içinde ortak, içi görünmeyen bir kasa. Coin’ler girer ve çıkar ama içeride ne olduğunu, kimin olduğunu kimse göremez. Ağ yalnızca her transferin geçerli olduğuna dair bir kanıt görür. Kimin kime ne kadar ödediği sır olarak kalır.

İşin sırrı sıfır bilgi ispatında: paranın size ait olduğunu ve onu iki kez harcamadığınızı, ne parayı ne de kendinizi açık etmeden gösterebilmenin yolu. 2016’dan önce kimse böyle bir şeyi büyük ölçekte çalıştırmamıştı. Sprout ilkiydi.

Bu matematiğin tatsız bir yan ürünü vardı. Sistemin, açılıştan önce bir kez üretilecek ortak parametrelere ihtiyacı vardı. Süreç, geliştiricilerin bizzat “zehirli atık” dediği verileri de ortaya çıkarıyordu. Bu veriyi saklayan biri sınırsız sahte coin basabilir, üstelik bunu kimse asla fark etmezdi.

Çözüm neredeyse bir tiyatro gösterisiydi. Altı ayrı istasyonda altı kişi parametreleri birlikte üretti. Her biri sırra bir parça ekledi ve içlerinden tek biri bile kendi parçasını yok ettiyse zehirli atık bir daha asla yeniden oluşturulamazdı. Gazeteci Morgen Peck, IEEE Spectrum için Colorado’nun Boulder kentindeki istasyonu izledi. Oradaki bilgisayar Denver’dan sıfır alınmış, kablosuz kartı ve sabit diski sökülmüştü. Ara sonuçlar yalnızca bir kez yazılabilen DVD’lere kaydedildi, odayı beş kamera kaydediyordu.

İstasyonlardan biri ise hareket hâlindeydi. Bitcoin geliştiricisi Peter Todd kendi payını, Britanya Kolumbiyası’nı arabayla boydan boya geçerken içi folyoyla kaplı karton bir kutudaki dizüstü bilgisayarda hesapladı. Ardından makineyi propan pürmüzüyle yaktı. Söylediğine göre amacı, “Kanada cypherpunk ihtişamıyla” bütün öteki istasyonları gölgede bırakmaktı.

Colorado’da pürmüz yoktu ama dram eksik değildi. Zcash’in kurucusu Zooko Wilcox, kardeşi Za ve Za’nın eşi Jessica, Longmont’taki bir arka bahçede araba farlarının ışığında donanımı yok etti. Za bir Lenovo masaüstü bilgisayarı spiral taşlama makinesiyle kesti, Zooko kasaya balyozla girişti ve enkaz, çakmak benzini dökülmüş bir ateş çukuruna atıldı. Havaya erimiş plastik kokusu sindi. Zooko gelecek nesillere seslendi: “İşte çocuklar, 23 Ekim’de bu yüzden havai fişek atıyoruz.”

Yalnızca dört kişinin bildiği açık

Ateş tek bir tehdide karşı koruyordu: birinin zehirli atığı gizlice saklamasına. Matematiğin kendisindeki bir hataya karşı ise hiçbir işe yaramıyordu.

1 Mart 2018 gecesi, coin’in arkasındaki şirket Zcash Company’nin kriptografı Ariel Gabizon akademik bir çalıştay için sunum hazırlıyordu. Bu sırada parametreleri üretmek için kullanılan şemada bir açık buldu. Açık yüzünden törenin yayımlanan kaydında fazladan öğeler yer alıyordu. Bu kaydı eline geçiren biri sahte bir ispat üretip Sprout içinde sınırsız sayıda coin basabilirdi. Hem de fark edilmeden.

Başta yalnızca dört kişi biliyordu: Gabizon, şirketteki kriptograf meslektaşı Sean Bowe, CEO Zooko Wilcox ve teknoloji direktörü Nathan Wilcox. Şirket törenin herkese açık kaydını sildi ve bunun kazara olduğunu söyledi. Düzeltme, 28 Ekim 2018’de devreye giren büyük ve önceden planlanmış Sapling güncellemesinin içine gizlendi. Şirkete göre kendi mühendisleri bile neyi yayına aldıklarını bilmiyordu. Kayıt daha sonra DVD’lerden yeniden oluşturulup tekrar yayımlandı. Açığın kendisi ise Şubat 2019’a kadar sır olarak kaldı.

Şirket blokzincirde bir saldırı izine rastlamadı. Bu sonuca varırken, bu hikâyede defalarca karşımıza çıkacak bir ayrıntıya dayandı. Sprout bir turnike gibi çalışır. İçeride ne olduğunu göremezsiniz ama ağ kaç coin’in girdiğini, kaçının çıktığını sayar. Biri sahte coin basıp yatırılandan fazlasını çekseydi, havuzun bakiyesi sıfırın altına düşerdi. Bakiye hiç eksiye düşmedi; şirket de sözcüklerini özenle seçti: bakiye sıfırın üzerinde kaldığı sürece tespit edilmiş bir sahtecilik yok.

Ama turnikenin de dürüst bir sınırı var: havuzdan girenden fazla coin çıkamayacağını garanti eder, o kadar. Sahtecilik gerçekten yaşandıysa ve sahte coin’ler çekildiyse, eksik Sprout’ta son kalanların sırtında kalırdı: içeride herkese yetecek kadar gerçek coin olmazdı.

Aynı sayaç bugün 12.224 ZEC gösteriyor.

Dışarıdan kilitlenen kapı

2018’den sonra Sprout artık eskimişti. Zcash’e yeni havuzlar eklendi, önce Sapling, ardından Orchard; ikisi de daha hızlı, daha hafif ve kullanımı daha kolaydı. Eski tasarımı korumak, hırsız bulsun diye fazladan bir kapı açık bırakmak demekti.

18 Kasım 2020’de Canopy güncellemesi Sprout’a yeni para yatırılmasını yasakladı. Para çekmek hâlâ mümkündü. Geliştiricilerin gerekçesinde, altı yıl sonra bakınca neredeyse kehanet gibi duran bir cümle vardı: başka kriptografik zayıflıkların olasılığı “tamamen dışlanamaz”.

Peki bunca zaman orada coin tutanlar kimdi? Telefonunda cüzdan uygulaması olan sıradan insanlar olmadığı neredeyse kesin. Proje forumunda nuttycom adıyla yazan bir Zcash geliştiricisi, sıradan kullanıcılara yönelik hiçbir cüzdanın Sprout’u desteklemediğine dikkat çekti. Onu yalnızca kendi tam düğümünü çalıştıranlar kullanabiliyordu: ilk madenciler, meraklılar ve 2016–2017’nin ilk yatırımcıları. Bazıları büyük ihtimalle şifresini kaybetmiştir. Diğerleri ise coin’in fiyatı düşünce ilgisini yitirip gitti.

Yapay zekâyla bulunan ikinci açık

Mart 2026’da temkinli olmakta haklı oldukları anlaşıldı. Scalar takma adını kullanan araştırmacı Alex Sol, yapay zekâ yardımıyla, Zcash’in ana düğüm yazılımı zcashd’nin Temmuz 2020’den beri Sprout işlemlerindeki ispatları hiç kontrol etmediğini keşfetti. Kötü niyetli bir madenci havuzdan 25.000’den fazla ZEC’i, o dönemki değeriyle yaklaşık 6,5 milyon doları çekip alabilirdi.

Rapor 23 Mart’ta geldi ve üç gün içinde en büyük madenciler düzeltmeyi kurdu. Hatayı kimse istismar etmedi. En kötü senaryoda bile aynı turnike zararı sınırlardı: saldırgan havuzdaki başkalarının coin’lerini çalabilirdi ama havuzda olandan fazlasını çıkaramazdı. Sol’a 200 ZEC ödül verildi.

Sprout’un kaldırılmasını isteyenler için bu en güçlü argüman oldu. Eski kodu neredeyse kimse kullanmıyor, dolayısıyla neredeyse kimse kontrol etmiyor. Ama içindeki para gerçek.

“Ölü” coin’lerin yarısı dirildi

Ekim 2024’te kriptograf Daira-Emma Hopwood, Sprout’u kalıcı olarak kapatmayı önerdi. Gerekçesi şuydu: Sprout’u neredeyse kimse kullanmıyordu ama ağdaki her düğüm onun transferlerini kontrol etmek zorundaydı; bu da onu saldırganlar için boş yere bir hedef hâline getiriyordu. Üstelik Sprout cüzdanı sunan tek yazılımın da fişi çekilmek üzereydi.

Aralık 2024’te, havuzda hâlâ 26.054 ZEC varken, Zcash forumunda bir anket açıldı ve tartışma kızıştı. Katılımcılardan biri dondurmayı “erken sahiplere, madencilere, yatırımcılara, gizliliğe ve değişmezliğe karşı tam bir saygısızlık” olarak nitelendirdi. Bir başkası Zcash’i düpedüz unutmuş insanları dert edindi ve coin’lerin sonradan kurtarılabilmesi için bir “B planı” istedi. Hopwood, sonradan kurtarmanın teoride mümkün olduğunu yazdı. Ama anahtarı hâlâ elinde olan herkese, eski yazılım daha çalışıyorken paralarını hemen taşımaları çağrısında bulundu. Ona göre geri kalanlar ne yazık ki büyük olasılıkla anahtarlarını kaybetmişti.

Ardından bir yılı aşkın süre hiçbir şey olmadı. Mart 2026’ya gelindiğinde bakiye yalnızca 630 coin azalmıştı.

Sonra her şey birden hızlandı. Mart’tan bu yana ZEC’in fiyatı yaklaşık beş katına çıktı ve unutulmuş bir zula birden ciddi para eder oldu. NU7’ye bir tarih verildi: önce 5 Kasım, sonra kesin bir blok yüksekliği. Eylül’de uyarılar kripto basınına yayıldı, Zooko Wilcox bunları X’te tekrarladı, forum üyeleri herkesi eski cüzdanlarını kontrol etmeye çağırdı. Birkaç ay içinde havuzdan 13.200 coin çıktı: kayıp diye defterden silinenlerin yarısından fazlası.

En yakın benzetme, bir devletin eski banknotları tedavülden kaldırması. 8 Kasım 2016’da, Zcash’in açılışından on bir gün sonra, Hindistan 500 ve 1.000 rupilik banknotlarını geçersiz ilan etti ve insanlara bunları bankaya yatırmaları için yıl sonuna kadar süre tanıdı. Sonunda banknotların %99,3’ü geri döndü. Son tarih, her türlü ikna çabasından daha etkilidir. Ama elinde eski banknot kalan biri bankaya gidebilir. Sprout coin’i olanın ise gidecek yeri yok: ağda gözünüzün içine bakıp size inanmaya karar verecek bir gişe memuru bulunmuyor.

Yakılmadı, donduruldu

Teknik olarak 12.224 ZEC hiçbir yere gitmedi. Hopwood’un önerisi ZIP 2003, coin’lerin yakılmadığını ve hâlâ basılmış sayıldığını vurguluyor. Ağ yalnızca onları hareket ettirebilecek işlemleri reddediyor. Gelecekteki bir güncelleme eski formatı geri getirebilir ya da paraya ulaşmanın başka bir yolunu bulabilir. Yine de belge, ihtimaller konusunda açık sözlü: Sprout fonlarını harcama imkânı “asla yeniden etkinleştirilmeyebilir”.

Parayı kurtarma fikirleri şimdiden ortalıkta dolaşıyor. 2018’deki açığı sır olarak tutan dört kişiden biri olan Sean Bowe, bir kurtarma mekanizmasının taslağını çizdi, ancak güncellemenin devreye girdiği güne kadar hiçbiri onaylanmadı. Forumda daha 2024’te bir “son çare” konuşulmuştu: kalan bakiyeyi tek bir cüzdanda toplamak ve eski bir anahtarın sahibi olduğunu kanıtlayabilen herkese ödeme yapmak. Kanıt da yine sıfır bilgi ispatıyla verilecekti. Savunucuları bile sonucun “göze batacak kadar merkezi” olacağını kabul etti. O cüzdanı birinin elinde tutması, herkesin de ona güvenmesi gerekecekti.

Bitcoin de aynı kavganın eşiğinde

Zcash, bitcoin dünyasının hâlâ tartıştığı adımı attı. Nisan 2026’da geliştirici Jameson Lopp ve beş ortak yazarı BIP-361’i önerdi: önerinin devreye girmesinden beş yıl sonra, geleceğin kuantum bilgisayarlarının kırabileceği adreslerdeki coin’leri dondurmak. Bu yaklaşık 6 milyon BTC’yi kapsıyor; bunların yaklaşık 1,7 milyonu en eski adreslerde duruyor, Satoshi Nakamoto’nun coin’leri de dahil. Mantık Zcash’teki gibi: birinin çalmasını beklemektense coin’leri dondurmak daha iyi.

Yazarlar, kurtarma ifadesi hâlâ elinde olan sahiplere fonlarını geri almanın bir yolunu vaat ediyor. Satoshi’ninkiler de dahil en eski adresler içinse böyle bir kurtarma yolunun henüz bulunamadığını kabul ediyorlar. Sprout’ta olduğu gibi, o coin’ler de anahtar deliği olmayan bir kasada kalabilir. Eski coin’lerin neden en savunmasız olduğunu FUTURMAG bir hafta önce incelemişti.

Lopp’un önerisi sert tepki çekti. Bitcoin biriktiren Japon şirketi Metaplanet’ten Phil Geiger, ana itirazı tek cümlede özetledi: “İnsanların parasının çalınmasını önlemek için onların parasını çalmak zorundayız.”

Kripto paralar kimsenin elinizden alamayacağı bir para vaat etmişti: ne bir banka, ne bir devlet, ne de geliştiriciler. Sprout bu vaadin nerede bittiğini gösteriyor. Eski kod eninde sonunda bir açığa dönüşür ve topluluk hangisinin daha tehlikeli olduğuna karar vermek zorunda kalır: onu açık bırakmak mı, yoksa içinde başkalarının parasıyla mühürlemek mi. Zcash mühürlemeyi seçti ve herkese açık bir son tarih koydu. Coin’lerin yarısından fazlası zamanında kurtuldu.

Geri kalan 12.224 coin, onları hâlâ sadakatle sayan bir turnikenin ardında duruyor. Beş yıl sonra biri Sprout anahtarı olan eski bir sabit disk bulursa, parasını geri alıp alamayacağına kim karar verecek: kod mu, geliştiriciler mi, yoksa bir forum anketi mi?