Kripto Para Borsalarında Güvenlik ve Lisans Standartları

Türkiye'de Kripto Varlık Hizmet Sağlayıcıları ve SPK Düzenlemeleri

Kripto varlık alım satım platformlarının faaliyetleri, 7518 sayılı Sermaye Piyasası Kanununda Değişiklik Yapılmasına Dair Kanun ile yasal bir çerçeveye kavuşmuştur. Bu düzenleme uyarınca, Türkiye'de yerleşik olarak faaliyet gösteren veya Türkiye'deki kullanıcılara yönelik hizmet sunan kripto varlık hizmet sağlayıcıları (KVHS), Sermaye Piyasası Kurulu (SPK) denetimi altına alınmıştır. Düzenlemenin temel amacı, piyasada faaliyet gösteren platformların kurumsal yapısını güçlendirmek, operasyonel şeffaflığı artırmak ve kullanıcı fonlarının güvenliğini teminat altına almaktır.

SPK tarafından belirlenen ikincil düzenlemeler ve tebliğler doğrultusunda platformların karşılaması gereken temel kurumsal şartlar bulunmaktadır. Bu şartlar, şirketlerin yalnızca yazılımsal bir arayüz olmaktan çıkıp finansal kuruluş standartlarında hizmet vermesini zorunlu kılar:

• Kurumsal Yapı ve Esas Sözleşme: Platformların anonim şirket statüsünde kurulması, paylarının tamamının nama yazılı olması ve faaliyet konularının yalnızca kripto varlık hizmetleriyle sınırlandırılmış olması gerekir.
• Asgari Sermaye Yeterliliği: Şirketlerin faaliyet türlerine göre belirlenen ve tamamı nakden ödenmiş asgari özsermaye eşiklerini sağlaması zorunludur. Bu sermaye tabanı, olası operasyonel aksaklıklarda platformun finansal dayanıklılığını gösterir.
• Kurucu ve Yönetici Nitelikleri: Şirket kurucularının, ortaklarının ve yönetim kurulu üyelerinin mali suçlardan hüküm giymemiş olması, iflas veya konkordato geçmişinin bulunmaması ve yönetim kurulu üyelerinin çoğunluğunun dört yıllık lisans eğitimine sahip olması şart koşulmuştur.
• MASAK Uyumu: Mali Suçları Araştırma Kurulu (MASAK) mevzuatı kapsamında kimlik teyidi (KYC), şüpheli işlem bildirimi ve kara para aklama ile terörün finansmanının önlenmesine yönelik iç denetim mekanizmalarının işletilmesi esastır.

Yasal çerçeveye uyum sağlayan platformlar, SPK'nın yayımladığı faaliyette bulunanlar listesinde ilan edilir. Bu listeler, yetkisiz platformların tespit edilmesinde ve yasal zeminde işlem yapılmasında temel referans belgedir.

Teknik Güvenlik Altyapısı: Soğuk Cüzdan ve Çoklu İmza Standartları

Kripto para borsalarında güvenliğin en somut boyutu, kullanıcı bakiyelerini oluşturan dijital varlıkların nerede ve nasıl saklandığıdır. Merkezi borsalar, günlük alım satım likiditesini sağlamak ve para çekme taleplerini hızlı karşılamak için internete bağlı sıcak cüzdanlar kullanır. Ancak büyük hacimli müşteri varlıklarının siber saldırılardan korunması amacıyla soğuk cüzdan mimarisi tercih edilir. Konuyla ilgili detaylı saklama yöntemleri için kripto cüzdan türleri rehberinden yararlanabilirsiniz.

Güvenilir bir borsa mimarisinde varlıkların en az yüzde 90 ila 95'lik kısmının internet erişimi bulunmayan, çevrimdışı donanımlarda tutulması hedeflenir. Bu donanımlar fiziksel kasalarda ve coğrafi olarak farklı konumlarda dağıtık şekilde muhafaza edilir. Tek bir yöneticinin veya çalışanın cüzdanlara erişimini engellemek için çoklu imza (multi-sig) ve MPC (Multi-Party Computation) protokolleri uygulanır. Çoklu imza sisteminde bir transfer işleminin onaylanması için tanımlı beş yetkiliden en az üçünün dijital imzasının bir araya gelmesi gerekir.

Ayrıca Türkiye'deki düzenlemeler kapsamında bilgi sistemlerinin denetimi için TÜBİTAK tarafından belirlenen teknik ve kriptografik kriterlere uyum şartı aranmaktadır. Bu kriterler; sızma testleri, şifreleme anahtarlarının yaşam döngüsü yönetimi, yedekleme politikaları ve felaket kurtarma senaryolarının düzenli olarak test edilmesini kapsar.

Rezerv Kanıtı (Proof of Reserves) ve Bağımsız Denetim

Borsaların operasyonel güvenilirliğini kanıtlamasında en önemli araçlardan biri rezerv kanıtı (Proof of Reserves) raporlamalarıdır. Geçmişte küresel piyasalarda yaşanan borsa iflasları, kullanıcı bakiyelerinin şirket içi harcamalarda veya yüksek riskli işlemlerde kullanılmasından kaynaklanmıştır. Rezerv kanıtı, bir platformun müşterilerine ait yükümlülükleri eksiksiz karşılayacak varlığa sahip olduğunu matematiksel olarak belgeler.

Bu sistemde Merkle ağacı (Merkle Tree) adı verilen kriptografik veri yapısı kullanılır. Kullanıcılar, kendi bakiye verilerinin bu ağacın bir parçası olduğunu anonim bir kod vasıtasıyla bağımsız olarak doğrulayabilir. Rezerv kanıtının tam anlamıyla geçerli olabilmesi için yalnızca zincir üstü (on-chain) cüzdan varlıklarının değil, aynı zamanda borsanın toplam kullanıcı borçlarının ve şirket yükümlülüklerinin de bağımsız bir denetim kuruluşu tarafından incelenmesi gerekir.

Müşteri Varlıklarının Hukuki Ayrımı ve Haczedilemezlik İlkesi

Gelişmiş kripto varlık piyasası dinamiklerinde en büyük risklerden biri, aracı kurumun finansal sıkıntıya düşmesidir. 7518 sayılı Kanun bu riski bertaraf etmek amacıyla açık bir mülkiyet ayrımı kuralı getirmiştir. Kanuna göre, kripto varlık hizmet sağlayıcılarının kendi malvarlığı ile müşterilerine ait nakit ve kripto varlıklar birbirinden tamamen ayrı tutulmak zorundadır.

Bu yasal ayrıştırmanın doğrudan hukuki sonuçları bulunmaktadır:

1. Müşterilere ait nakit tutarlar, yalnızca yetkili bankalarda açılan ve platformun kendi operasyonel hesaplarından bağımsız müşteri hesaplarında muhafaza edilir.
2. Müşterilerin kripto varlıkları ve nakitleri, platformun kamu borçları, vergi yükümlülükleri ya da ticari borçları nedeniyle haczedilemez, rehin edilemez ve iflas masasına dahil edilemez.
3. Platform yöneticileri veya üçüncü taraflar, kullanıcı varlıkları üzerinde kurulun izni ve müşterinin açık talimatı olmadan tasarrufta bulunamaz.

Kullanıcıların portföylerini yönetirken işlem yaptıkları kurumun bu hukuki güvenceleri sağlayıp sağlamadığını kontrol etmesi, bilinçli bir finansal okuryazarlık yaklaşımının parçasıdır.

Bireysel Güvenlik Önlemleri ve Hesap Koruma Adımları

Borsanın teknik ve yasal güvenliği ne kadar güçlü olursa olsun, nihai işlem güvenliği kullanıcı seviyesindeki tedbirlerle tamamlanır. Siber korsanların hesaplara erişimde en sık başvurduğu yöntemler oltalama (phishing), sahte mobil uygulamalar ve kimlik hırsızlığıdır. Bu nedenle borsa hesaplarında bireysel koruma katmanlarının eksiksiz yapılandırılması gerekir.

Kullanıcıların hesap güvenliği için uygulayabileceği temel adımlar şunlardır:

• Donanımsal veya Uygulama Tabanlı 2FA: SMS tabanlı doğrulama kodları SIM kopyalama riskine açıktır. Bunun yerine Google Authenticator gibi zaman tabanlı şifre üreten uygulamalar veya FIDO2 destekli fiziksel güvenlik anahtarları kullanılmalıdır.
• Çekim Adresi Beyaz Listesi (Whitelisting): Hesaptan kripto para çekilebilecek cüzdan adreslerinin önceden tanımlanması ve kilitlenmesidir. Yeni bir adres eklendiğinde sistemin 24 ila 48 saatlik bekleme süresi uygulaması, yetkisiz çekim girişimlerini engeller.
• Anti-Phishing Kodu: Platformdan gelen resmi e-postalarda kullanıcı tarafından belirlenen özel bir kelimenin yer alması sağlanır. Bu kodun bulunmadığı e-postalar sahte bildirim olarak ayırt edilir.
• Cüzdan Çeşitlendirmesi: Günlük alım satım yapılmayan uzun vadeli birikimlerin borsa hesaplarında tutulması yerine kişisel soğuk cüzdanlara aktarılması, platform kaynaklı operasyonel riskleri sınırlar. Portföy güvenliği açısından portföy çeşitlendirme ilkelerine dikkat edilmelidir.

Sıkça Sorulan Sorular

Kripto para borsalarında güvenlik; SPK lisanslama şartları, şirket ve müşteri varlıklarının yasal olarak ayrılması, TÜBİTAK standartlarında siber altyapı ve bağımsız denetimlerden geçen soğuk cüzdan saklama mimarisiyle sağlanır. Kullanıcılar işlem yapacakları platformu seçerken yasal yetkilendirme durumunu ve teknik rezerv şeffaflığını doğrulamalıdır.

Bir kripto para borsasının Türkiye'de yasal olarak faaliyet gösterdiği nasıl anlaşılır?

Sermaye Piyasası Kurulu'nun resmi internet sitesinde duyurulan Kripto Varlık Hizmet Sağlayıcıları listesinde yer alması gerekir. 7518 sayılı Kanun kapsamında kuruluşa ve faaliyet iznine başvuran ya da faaliyetini sürdürmesine izin verilen şirketler bu listede şeffaf biçimde ilan edilir.

Borsanın iflas etmesi halinde kullanıcıların varlıklarına ne olur?

Kanuni düzenleme gereğince müşteri bakiyeleri platformun kendi malvarlığından ayrı tutulur. Platform tasfiye sürecine girse veya iflas etse dahi, kullanıcılara ait nakit ve kripto varlıklar iflas masasına katılamaz ve platformun borçları için haczedilemez.

Rezerv kanıtı raporu tek başına yeterli bir güvenlik göstergesi midir?

Rezerv kanıtı yalnızca belirli bir andaki cüzdan bakiyelerini doğrular. Tam bir güvenlik için Merkle ağacı doğrulamasının yanı sıra platformun toplam müşteri yükümlülüklerinin bağımsız denetimden geçmiş olması ve şirket borçlarının raporda yer alması gerekir.