Türkiye’de Kripto Varlık Hizmet Sağlayıcı Kuruluşu ve SPK Faaliyet İzni: 2026 Lisans, Sermaye, MASAK ve Uyum Rehberi

Kripto varlık alanında bir anonim şirket kurmak, tek başına kripto varlık hizmet sağlayıcılığı yapma hakkı vermez. Türkiye’de 2026 yılı itibarıyla düzenli, ticari veya mesleki biçimde kripto varlık alım-satım platformu işletmek, müşteriler adına kripto varlık saklamak ya da özel anahtarları yönetmek ve mevzuatta sayılan diğer hizmetleri sunmak; Sermaye Piyasası Kurulundan önce kuruluş izni, ardından faaliyet izni ve yetki belgesi alınmasını gerektiren, sermaye yoğun ve sürekli denetime tabi bir finansal hizmet faaliyetidir. 123

Bu rehber; yeni bir platform veya saklama kuruluşu kurmayı planlayan girişimciler, yabancı yatırımcılar, teknoloji şirketleri, finans kuruluşları, yönetim kurulu üyeleri, uyum görevlileri ve yatırım ekipleri için hazırlanmıştır. Amaç yalnız başvuru evrakını sıralamak değil; iş modelinin lisans kapsamını, şirket ve ortaklık yapısını, 2026 sermaye eşiklerini, MASAK yükümlülüklerini, bilgi sistemleri ve saklama mimarisini, müşteri sözleşmelerini, vergi ve yaptırım risklerini tek bir hukuki yol haritasında göstermektir.

2026 İçin Kritik Rakamlar ve Kurallar

Parasal eşikler yıllık yeniden değerleme veya Kurul kararıyla değişebilir. Başvuru dosyası hazırlanırken yalnız bu makaledeki rakamlara değil, başvuru tarihinde yürürlükte bulunan SPK bülteni ve güncel başvuru formlarına bakılmalıdır. 45

Kripto Varlık Hizmet Sağlayıcı Nedir?

6362 sayılı Sermaye Piyasası Kanunu, kripto varlık hizmet sağlayıcı kavramını platformları, kripto varlık saklama hizmeti sağlayan kuruluşları ve Kurulca belirlenen diğer hizmet sağlayıcıları kapsayacak biçimde düzenler. “Platform” ise kripto varlık alım-satımı, ilk satış veya dağıtımı, takası, transferi, bunların gerektirdiği saklama ve Kurulca belirlenen diğer işlemlerin bir veya birkaçının gerçekleştirildiği kuruluşu ifade eder. 1

Bu tanımın sonucu şudur: Bir şirketin kendisini “teknoloji şirketi”, “pazarlama ortağı”, “acente”, “likidite aracısı”, “cüzdan uygulaması” veya “Web3 girişimi” olarak adlandırması lisans yükümlülüğünü ortadan kaldırmaz. Müşteri emri almak, işlemleri eşleştirmek, itibari para giriş-çıkışına aracılık etmek, müşteri varlığı üzerinde kontrol sağlamak, transferi gerçekleştirmek veya özel anahtarları yönetmek gibi fiiller varsa SPK kapsamı doğabilir.

Platform Hizmetleri

Platform izni; müşteri emirlerinin alınması ve gerçekleştirilmesi, kripto varlıkların alım-satım ortamının işletilmesi, transfer ve takas süreçlerinin yürütülmesi, listeleme, ilk satış veya dağıtıma aracılık ve izin verilen diğer faaliyetlerle ilişkilidir. Faaliyet izni “kripto alanında her şeyi yapma” yetkisi değildir; yetki belgesinde gösterilen hizmetlerle sınırlıdır.

Saklama ve Özel Anahtar Yönetimi

Kripto varlığa erişimi sağlayan özel anahtarların müşteriler adına kontrolü veya saklanması, yalnız teknik bir barındırma hizmeti değildir. Anahtar üretimi, imzalama, yedekleme, kurtarma, sıcak-soğuk cüzdan mimarisi, çoklu imza ve yetki yönetimi hizmetleri saklama faaliyeti kapsamına girebilir. Saklama modelinin banka, bağımsız saklama kuruluşu veya platform cüzdanı bileşenleri ayrı ayrı değerlendirilmelidir.

İlk Satış, Dağıtım ve Token Projeleri

Bir tokenin teknolojik olarak blokzincir üzerinde oluşturulması, hukuki niteliğini tek başına belirlemez. Token; sermaye piyasası aracı, ödeme aracı, elektronik para benzeri değer, emtia veya başka bir hakka dayanıyorsa ilgili kurumların özel mevzuatı da devreye girebilir. Platform, ilk satış veya dağıtımına aracılık ettiği varlığın hukuki niteliğine, akıllı sözleşmesine, listeleme şartlarına ve saklama altyapısına ilişkin kontrolleri yapmak zorundadır. 3

Yatırım Danışmanlığı ve Genel Tavsiye Ayrımı

Belirli bir kişiye veya benzer mali durum ve risk tercihindeki gruba yönlendirici yorum ve tavsiye sunulması yatırım danışmanlığıdır. 2026 yılında bu hizmet, platform nezdindeki kripto varlıklarının cari değeri en az 60.000.000 TL olan müşterilere sunulabilir; nitelikli personel ve araştırma birimi gerekir. Buna karşılık genel nitelikte finansal analiz veya tavsiye, mevzuattaki genel tavsiye kurallarına tabidir. Müşteri portföyünün vekâleten yönetilmesi ise yasaktır. 34

Hangi İş Modelleri İçin SPK İzni Gerekebilir?

İş modeli haritası başvurudan önce tamamlanmalıdır

Kuruluş izni alındıktan sonra iş modelinin esaslı biçimde değiştirilmesi; yeni hizmet, ürün, token türü, saklama mimarisi veya yabancı grup şirketi entegrasyonu bakımından ek izin ve bildirim ihtiyacı doğurabilir. Bu nedenle lisans dosyası yalnız şirket kuruluşuna değil, ürün tasarımına dayanmalıdır.

Düzenleyici Kurumlar ve Görev Dağılımı

Kripto varlık hizmet sağlayıcılığı tek kurumlu bir izin alanı değildir. SPK ana düzenleyici ve denetleyici otorite olmakla birlikte, şirketin faaliyeti aşağıdaki kurumların görev alanlarıyla kesişir:

• Sermaye Piyasası Kurulu: kuruluş ve faaliyet izni, sermaye yeterliliği, müşteri ilişkileri, listeleme, piyasa gözetimi, saklama, denetim ve yaptırım.
• Mali Suçları Araştırma Kurulu Başkanlığı: müşterinin tanınması, gerçek faydalanıcı, şüpheli işlem bildirimi, uyum programı, seyahat kuralı ve sıkılaştırılmış tedbirler.
• TÜBİTAK: bilgi sistemleri ve teknolojik altyapı kriterleri ile teknik denetim süreçlerine destek.
• Merkezi Kayıt Kuruluşu: platform ve saklama kuruluşu raporlarının karşılaştırılması, merkezi kaydi raporlama ve müşteri bakiye görüntüleme altyapısı.
• Bankacılık Düzenleme ve Denetleme Kurumu: bankaların kripto saklama faaliyeti ve uygun görüş süreçleri.
• Türkiye Cumhuriyet Merkez Bankası: ödemelerde kripto varlık kullanımına ve ödeme/e-para kuruluşlarının aracılığına ilişkin yasaklar.
• Kişisel Verileri Koruma Kurumu: uzaktan müşteri edinimi, biyometrik veri, işlem izleme, yurt dışı veri aktarımı ve veri güvenliği.
• Gelir İdaresi Başkanlığı ve vergi idaresi: kurum kazancı, işlem gelirleri, bordro, stopaj, gider ve belgelendirme yükümlülükleri.

SPK Süreci İki Aşamalıdır: Kuruluş İzni ve Faaliyet İzni

Birinci Aşama: Kuruluş İzni

Kurucular, şirketi ticaret sicilinde kurmadan önce kuruluş şartlarına uygun esas sözleşme ve kurucu/ortak belgeleriyle SPK’ya başvurur. Kurul; sermaye kaynağı, ortaklık yapısı, gerçek faydalanıcılar, mali güç, itibar, grup yapısı, planlanan faaliyetler ve organizasyon tasarımını inceleyebilir; ilave bilgi, bağımsız denetim veya derecelendirme isteyebilir. 2

Kuruluş izni, faaliyet izni değildir. Kuruluş izni verilen şirket, faaliyete geçeceği izlenimini verecek müşteri kabulü, reklam, emir alma, varlık transferi veya saklama hizmetine başlayamaz.

Kuruluş İzni Dosyasının Çekirdek Unsurları

Kuruluş izni dosyası; esas sözleşme taslağı, faaliyet ve gelir modeli, doğrudan ve dolaylı ortaklık şeması, gerçek faydalanıcı bilgileri, sermaye kaynağı, üç yıllık finansal projeksiyon, organizasyon modeli ve planlanan teknik mimari arasında tutarlılık göstermelidir. Bir belgede yalnız platform, diğerinde saklama veya likidite sağlama faaliyeti anlatılması; kapsamın belirsiz ya da çelişkili olduğu izlenimini doğurabilir.

İkinci Aşama: Faaliyet İzni ve Yetki Belgesi

Kuruluş iznini takiben şirketin mevzuata uygun biçimde kurulması, sermayenin ödenmesi, yönetim ve personelin atanması, iç kontrol-risk-iç denetim birimlerinin kurulması, MASAK uyum programının hazırlanması, bilgi sistemleri ve cüzdan mimarisinin devreye alınması, saklama sözleşmeleri ve teknik entegrasyonların tamamlanması gerekir. Kuruluş izninden sonra altı ay içinde faaliyet iznine başvurulmazsa hak düşer; Kurul bu süreyi toplam bir yıla kadar uzatabilir. 2

Faaliyet izni başvurusunun olumlu sonuçlanması üzerine, izin verilen hizmetleri gösteren yetki belgesi düzenlenir. Yetki belgesi alınmadan faaliyete başlanamaz. Bildirimi izleyen bir ay içinde gerekli harç ödenmez ve makbuz Kurula sunulmazsa faaliyet izni iptal edilir. 2

Faaliyet İzni Öncesindeki Denetim Eşiği

Faaliyet izni dosyası, yalnız politika metinlerinden oluşan bir klasör değildir. Emir, transfer, cüzdan, saklama, kimlik doğrulama, loglama, şikâyet, mutabakat ve felaket kurtarma süreçlerinin çalışan sistemler üzerinde test edilmesi; yetki matrisi, personel, tedarikçi sözleşmeleri ve denetim kanıtlarının fiilî işleyişi göstermesi gerekir. Yazılı prosedür ile uygulamanın ayrışması izin sürecini ve sonrasındaki sorumluluğu doğrudan etkiler.

Başvurunun Eksik Olması Ne Sonuç Doğurur?

SPK’nın belirlediği standartları taşımayan başvuru değerlendirmeye alınmadan iade edilebilir. Kurulun istediği ek bilgi ve belgeler, on günden az olmayacak biçimde verilen süre içinde tamamlanmazsa başvuru işlemden kaldırılabilir. Bu nedenle dosyanın “evrak teslimi” olarak değil, hukuki, teknik ve finansal bir denetim dosyası olarak hazırlanması gerekir.

Şirketin Hukuki Yapısı ve Esas Sözleşmesi

Anonim Şirket Zorunluluğu

Kripto varlık hizmet sağlayıcı anonim şirket şeklinde kurulmalıdır. Limited şirket, adi ortaklık, şube veya temsilcilik yapısı tek başına platform ya da saklama kuruluşu lisansı için yeterli değildir. Payların tamamı nama yazılı ve nakit karşılığı çıkarılmış olmalıdır. Sermayenin tamamı nakden ödenmeli, özsermaye asgari sermayenin altına düşmemelidir. 2

Faaliyet Konusunun Münhasırlığı

Esas sözleşmedeki işletme konusu, Kurulca yetkilendirilecek kripto varlık hizmetleriyle sınırlı kurulmalıdır. Aynı tüzel kişilik altında ilgisiz ticari faaliyetleri geniş biçimde yazmak, lisanslı faaliyetin finansal ve operasyonel risklerini ayrıştırmayı güçleştirir. Grup içindeki yazılım, pazarlama, insan kaynakları veya gayrimenkul gibi destek faaliyetleri ayrı şirketlerde tutulabilir; ancak dışarıdan hizmet alımı sorumluluğu lisanslı kuruluştan kaldırmaz.

Ticaret Unvanı, Marka ve İnternet Alan Adı

Ticaret unvanı ve marka, kuruluşun yetkili olduğu faaliyetleri doğru yansıtmalı; henüz izin alınmadan lisanslı izlenimi oluşturmamalıdır. İnternet alan adı, mobil uygulama mağazası hesabı, marka hakları ve sosyal medya hesapları şirketin kontrolünde olmalı; sahte alan adı ve kimlik avı risklerine karşı kayıt, izleme ve müdahale prosedürü kurulmalıdır.

2026 Sermaye ve Sürekli Mali Yeterlilik Şartları

Asgari Kuruluş Sermayesi

2026 yılı için platformların asgari kuruluş sermayesi 250.000.000 TL, saklama kuruluşlarının asgari kuruluş sermayesi 630.000.000 TL’dir. Eski sayfada yer alan 50.000.000 TL tutarı artık güncel değildir. 4

Sermayenin tamamının nakden ödenmesi gerekir. Sermaye kaynağı; banka kayıtları, fon hareketleri, ortakların mali gücü, gelir/servet belgeleri ve yabancı kaynaklı fonlarda uluslararası transfer belgeleriyle izlenebilir olmalıdır. Sermayenin geçici olarak borçlanılıp yatırılması veya gerçek kaynağın açıklanamaması başvurunun güvenilirliğini zedeler.

Sermaye Kaynağının İzlenebilirliği

Nominal tutarın hesaba yatırılmış olması tek başına yeterli güvence oluşturmaz. Paranın hangi ortaktan, hangi hukuki işlem ve gelir kaynağından doğduğu; üçüncü kişiden geçici finansman, örtülü borç, geri ödeme taahhüdü veya grup içi dolaşım bulunup bulunmadığı belgelenmelidir. Yabancı para ve yurt dışı kaynaklarda banka zinciri, vergi ve yaptırım riski ile gerçek faydalanıcı bağlantısı birlikte incelenir.

Özsermaye, Sermaye Yeterliliği ve Borçlanma Sınırı

Faaliyet boyunca özsermaye kuruluş sermayesinin altına düşemez. Özsermayenin her yıl haziran itibarıyla en az yüzde 25’inin ödenmiş veya çıkarılmış sermaye olarak sağlanması gerekir. Sermaye yeterliliği tabanı; duran varlıklar, ilişkili taraf alacakları ve mevzuatta sayılan diğer kalemler indirilerek hesaplanır. Toplam kısa ve uzun vadeli borçlar sermaye yeterliliği tabanının üç katını aşamaz; dönen varlıklar en az kısa vadeli borçlar kadar olmalıdır. 3

Saklama Kuruluşlarında İlave Özsermaye

2026’da toplam müşteri varlıklarının 1.250.000.000 TL’yi aşması halinde, aşan kısmın yüzde 1,5’i kadar ilave özsermaye gerekir. Özsermaye 1.900.000.000 TL’ye ulaştığında bu ilave şart aranmaz. Yükümlülük üçer aylık dönemlerin aritmetik ortalaması üzerinden izlenir. 4

Likit Rezerv ve Rezerv Kompozisyonu

Platform, kendi cüzdanlarında tuttuğu müşteri varlıklarının yüzde 3’ü kadar likit rezerv bulundurur. Rezervin tek bir varlığa aşırı yoğunlaşması sınırlandırılmıştır; yeni listelenen veya piyasa değeri düşük varlıklar için daha sıkı kompozisyon sınırları uygulanır. Mali yeterlilik, yalnız bilanço büyüklüğü değil, likidite ve varlık kalitesi testidir.

Kurucu, Ortak ve Gerçek Faydalanıcı İncelemesi

Kurucu ve ortakların iflas/konkordato durumu, geçmişte faaliyet izni iptal edilen finansal kuruluşlarla ilişkisi, belirli suçlardan mahkûmiyet, işlem yasağı, mali güç, dürüstlük ve itibar şartları incelenir. Dolaylı ortaklıklar, oy hakları, imtiyazlar, yönetim kontrolü ve gerçek faydalanıcılar şeffaf biçimde gösterilmelidir. 2

Pay Devirleri ve Kontrol Değişikliği

Kuruluştan sonra doğrudan veya dolaylı pay devirleri, kontrol değişiklikleri ve yönetim kurulunda temsil imtiyazı veren paylar izin veya bildirim rejimine tabidir. Hisse opsiyonu, dönüştürülebilir borç, veto hakkı, ortaklar sözleşmesi ve grup içi kontrol düzenlemeleri yalnız ticaret sicili pay oranına bakılarak değerlendirilmemelidir.

Yabancı Ortak ve Yabancı Yönetici Olabilir mi?

Mevzuat yabancı gerçek veya tüzel kişinin ortaklığına kategorik yasak getirmez. Bununla birlikte yabancı ortakların kuruluş belgeleri, faaliyet belgeleri, ortaklık ve yönetim zinciri, nihai faydalanıcılar, adli sicil ve mali güç belgeleri; apostil veya usulüne uygun tasdik ve Türkçe tercümeyle sunulmalıdır. Yaptırım listeleri, vergi mukimliği, kaynak ülke riski ve grup içi fon akışları ayrıca incelenir.

Yönetim Kurulu, Üst Yönetim ve Personel

Yönetim Kurulu En Az Üç Üyeden Oluşur

Eski metindeki “en az üç ortak” ifadesi doğru değildir. Mevzuat, yönetim kurulunun asgari üç üyeden oluşmasını ve üyelerin çoğunluğunun dört yıllık lisans eğitimi veren okullardan mezun olmasını arar. Ortak sayısı, Türk Ticaret Kanunu ve şirket yapısına göre ayrı konudur. 2

Genel Müdür ve Üst Yönetim

Genel müdürün münhasıran bu görev için istihdam edilmesi, Türkiye’de mukim ve tam zamanlı olması gerekir. Eğitim, finansal piyasalar/teknoloji alanındaki tecrübe, dürüstlük ve itibar şartları yönetici bazında belgelenir. Yönetim kurulunun görev devri, çıkar çatışması ve kritik karar yetkileri açıkça düzenlenmelidir.

Zorunlu Fonksiyonlar

• İç denetim: faaliyetlerin mevzuat ve iç prosedürlere uygunluğuna ilişkin bağımsız güvence.
• İç kontrol: süreçlerin, kontrollerin ve mevzuata uyumun sürekli izlenmesi.
• Risk yönetimi: piyasa, likidite, operasyon, siber, saklama, karşı taraf ve uyum risklerinin ölçülmesi.
• Fiyat gözetim birimi: açıklanamayan veya piyasa bütünlüğünü bozan işlemlerin tespiti ve Kurula bildirim.
• Operasyon ve teknik personel: emir, bakiye, cüzdan, veri tabanı, entegrasyon ve raporlama süreçleri.
• MASAK uyum birimi: uyum görevlisi, yardımcısı, izleme-kontrol, eğitim, iç denetim ve şüpheli işlem bildirimi.

Bilgi Sistemleri, Siber Güvenlik ve Operasyonel Dayanıklılık

Kripto varlık hizmet sağlayıcının ana riski yalnız piyasa riski değildir. Özel anahtar kaybı, yetkisiz transfer, SIM değişikliği, hesap ele geçirme, sahte uygulama, yetki suistimali, tedarikçi kesintisi, veri bütünlüğü ihlali ve kurtarma anahtarının kötüye kullanılması doğrudan müşteri zararı ve yönetici sorumluluğu yaratabilir. Kanun, bilişim sistemlerinin işletilmesi, siber saldırı, bilgi güvenliği ihlali ve personel davranışından kaynaklanan kripto varlık kayıpları için ağır bir sorumluluk rejimi öngörür. 1

TÜBİTAK Altyapı Kriterleri ve Bağımsız Denetim

Bilgi sistemleri ve teknolojik altyapının TÜBİTAK kriterlerine uygunluğu kuruluş ve faaliyet izni sürecinde incelenebilir. Kripto varlık hizmet sağlayıcılar, bilgi sistemleri ve iç kontrol süreçleri bakımından yılda en az bir kez yetkili bağımsız denetim yaptırır; rezerv kanıtı denetimleri ayrıca yürütülür. Denetim raporu, zayıf kontrolün sonradan açıklanması değil, düzenli iyileştirme döngüsünün parçası olmalıdır.

Cüzdan Güvenliği

• Sıcak ve soğuk cüzdanların amacı, limitleri ve erişim yetkileri ayrı tanımlanmalıdır.
• Özel anahtar üretimi, bölünmesi, saklanması, yedeklenmesi ve imzalama süreci görevler ayrılığına dayanmalıdır.
• Çoklu imza veya çok taraflı hesaplama gibi yöntemlerde tek kişinin transferi tamamlaması önlenmelidir.
• Anahtar kurtarma ve olağanüstü durum prosedürleri test edilmeli; test kayıtları saklanmalıdır.
• Adres beyaz listeleme, davranışsal analiz, cihaz/IP kontrolü ve yüksek tutarlı transfer onayları birlikte uygulanmalıdır.
• Sahte uygulama, alan adı ve sosyal medya hesapları sürekli izlenmeli; olay müdahale planı bulunmalıdır.

Özel Anahtar Yaşam Döngüsü ve Olay Müdahalesi

Anahtar üretimi, kullanım, rotasyon, yedekleme, kurtarma ve imha aşamalarının her biri ayrı yetki ve kayıt düzenine bağlanmalıdır. Anahtarın ele geçirildiği, kaybolduğu veya yetkisiz imza ihtimali doğduğu anda transfer durdurma, cüzdan taşıma, müşteri ve kurum bildirimi, delil niteliğindeki kayıtların korunması ve kontrollü yeniden faaliyete geçiş adımları önceden belirlenmelidir.

Dışarıdan Hizmet ve Bulut Kullanımı

Bulut, siber güvenlik, çağrı merkezi, yazılım geliştirme, kimlik doğrulama veya blokzincir analizi hizmeti dışarıdan alınabilir; ancak düzenleyici sorumluluk devredilemez. Yazılı sözleşme; hizmet seviyesi, denetim hakkı, veri yeri, alt yüklenici, gizlilik, olay bildirimi, süreklilik, çıkış planı ve düzenleyici kurumların erişimini kapsamalıdır.

Saklama Modeli ve Müşteri Varlıklarının Ayrıştırılması

Kendi Cüzdanında Tutma Esası ve Yetkili Saklama

Kanun, müşterilerin kripto varlıklarını kendi cüzdanlarında tutmasını esas kabul eder. Müşterinin kendi cüzdanında tutmadığı varlıklar; yetkili banka veya Kurulca saklama hizmeti sunmaya yetkilendirilmiş kuruluş tarafından saklanır. Müşteri nakitleri bankalarda tutulur; bunlar mevduat sigortası kapsamında değildir. 1

%95 Saklama ve Gün İçi %10 Sınırı

Müşterilerin kendi cüzdanında tutmadığı varlıkların cari değer esasına göre asgari yüzde 95’i saklama kuruluşunda bulunmalıdır. Mutabakat itibarıyla platform cüzdanlarında en fazla yüzde 5 tutulabilir; gün içinde yüzde 10 aşılırsa aşan kısım mutabakat saati beklenmeden derhal saklama kuruluşuna aktarılmalıdır. 3

Sınır Aşımlarının Otomatik Yönetimi

Yüzde sınırları yalnız gün sonu kontrol tablosunda izlenmemelidir. Platform cüzdanlarındaki bakiye, fiyat değişimi ve müşteri hareketleri gerçek zamana yakın takip edilmeli; uyarı seviyeleri, otomatik aktarım, manuel onay, işlem durdurma ve istisna kayıtları tanımlanmalıdır. Aşımın sonradan düzeltilmesi, aşım süresince oluşan saklama ve operasyon riskini ortadan kaldırmaz.

Müşteri Malvarlığı Şirket Malvarlığından Ayrıdır

Müşteriye ait nakit ve kripto varlıklar hizmet sağlayıcının malvarlığından ayrıdır. Hizmet sağlayıcının borçları nedeniyle müşteri varlıkları; müşteri borçları nedeniyle de şirket varlığı, kamu alacağı için dahi haczedilemez, rehnedilemez, iflas masasına dâhil edilemez ve ihtiyati tedbire konu edilemez. Bu koruma, kötü muhasebe veya eksik mutabakatı affetmez; ayrıştırmanın hem sistemsel hem muhasebesel olarak ispatlanabilir olması gerekir. 1

MKK Mutabakatı

Platform ve saklama kuruluşunun MKK’ya yaptığı raporların aynı sonucu vermesi gerekir. MKK raporları karşılaştırır; farkları Kurula bildirir ve merkezi kaydi raporları müşterinin E-Yatırımcı sisteminde bakiye sorgulayabileceği biçimde oluşturur. Cüzdan bakiyesi, müşteri alt hesabı ve muhasebe kaydı arasındaki fark günlük operasyon sorunu değil, düzenleyici ihlal riskidir.

Listeleme, Piyasa Bütünlüğü ve Yasak İşlemler

Listeleme Komitesi ve İnceleme

Platform, listeleyeceği her kripto varlık için hukuki nitelik, teknoloji, proje ekibi, dolaşım, saklama imkânı, siber risk, piyasa bütünlüğü, çıkar çatışması ve bilgi açıklamalarını incelemelidir. Listeleme kararı ticari departmanın tek başına vereceği bir satış kararı değildir; yazılı kriter, komite ve kayıt gerekir.

Fiyat Gözetimi ve Piyasa Bozucu İşlemler

Platform, ekonomik gerekçeyle açıklanamayan, güven ve istikrarı bozan işlemleri tespit edecek fiyat gözetim sistemi kurar. Şüpheli hesapları kısıtlama, durdurma veya kapatma ve tespitleri Kurula bildirme yükümlülüğü vardır. Wash trading, kendinden kendine işlem, sahte hacim, koordineli fiyat hareketi ve çalışan/ilişkili taraf işlemleri izleme senaryolarına dahil edilmelidir.

Kaldıraç, Kredi, Türev, Açığa Satış ve Ödünç Yasağı

Platformda listelenen kripto varlıklar kaldıraçlı alım-satıma, türev sözleşmelere, kredili alım, açığa satış ve ödünç işlemlerine konu edilemez. Ürün adı “vadeli”, “earn”, “margin”, “borç verme” veya başka bir pazarlama adı olsa da ekonomik işlev yasağı bertaraf edemez. 3

Getiri Taahhüdü ve Müşteri Varlığı Üzerinde Tasarruf

KVHS, izin verilen özel durumlar dışında kripto varlığın belirli getiri sağlayacağını yazılı veya sözlü biçimde taahhüt edemez; müşteriye ait nakit ve kripto varlıklar üzerinde yetkisiz biçimde kendisi veya üçüncü kişi lehine tasarruf edemez. Likidite ve staking benzeri ürünler hukuki ve teknik olarak ayrıca incelenmelidir.

Müşteri Kabulü, Sözleşme ve Bilgilendirme

Çerçeve Sözleşme

Müşteriyle ilişki, yazılı veya elektronik ortamda mevzuata uygun çerçeve sözleşmeye dayanmalıdır. Sözleşme; hizmet kapsamı, ücretler, emir iletimi, saklama, transfer, mutabakat, temerrüt, işlem iptali, uyuşmazlık, kişisel veri, elektronik bildirim, hesap güvenliği ve hesabın kısıtlanması şartlarını açık biçimde düzenlemelidir. Sözleşme, emredici düzenlemeye aykırı sorumsuzluk kaydıyla şirketin yükümlülüklerini kaldıramaz.

Risk Bildirim Formu

Müşteriye kripto varlıkların fiyat, likidite, teknoloji, siber saldırı, özel anahtar, düzenleme, token proje ve yabancı platform riskleri açıklanmalıdır. Faaliyet izni, işlemin kamu güvencesi altında olduğu veya kripto varlığın devlet garantisi taşıdığı anlamına gelmez; kripto varlıklar yatırımcı tazmin sistemine tabi değildir. 1

Ücret, Spread ve Çıkar Çatışması

Komisyon, spread, saklama, transfer, para çekme, listeleme ve diğer ücretler müşteriye açıkça bildirilmelidir. Platformun kendi portföyüyle müşteri işlemlerine taraf olması, likidite sağlayıcı ilişkileri, ilişkili token projeleri ve grup şirketlerinden alınan hizmetler çıkar çatışması politikasında ele alınmalıdır.

MASAK Uyum Programı

Kripto varlık hizmet sağlayıcılar, suç gelirlerinin aklanması ve terörizmin finansmanının önlenmesi mevzuatında yükümlüdür. Uyum, yalnız müşteri kimliği fotoğrafı almak değildir; risk yönetimi, izleme ve kontrol, uyum görevlisi, eğitim, iç denetim, şüpheli işlem bildirimi ve kayıt saklamayı kapsayan yönetim sistemidir. 6

Müşterinin ve Gerçek Faydalanıcının Tanınması

Sürekli iş ilişkisi kurulurken tutardan bağımsız kimlik tespiti yapılır. Tüzel kişide temsilci yanında ortaklık yapısı ve gerçek faydalanıcı belirlenir; başkası hesabına hareket edilip edilmediğine ilişkin beyan alınır. Müşteri profili, gelir ve fon kaynağı, beklenen işlem hacmi, riskli ülke, ürün ve kanal bilgileriyle güncellenir.

Tüzel Kişi Müşterilerde Kontrol Zinciri

Ticaret sicilindeki doğrudan ortakların belirlenmesiyle yetinilmemelidir. Dolaylı pay sahipliği, oy sözleşmesi, imtiyaz, veto, yönetim atama hakkı, trust veya benzeri yapılar ile şirket adına hareket eden kişinin yetkisi incelenmelidir. Gerçek faydalanıcının tespit edilememesi ya da fon kaynağıyla şirket faaliyetinin uyumsuzluğu, müşteri kabulü ve sıkılaştırılmış tedbir kararını etkiler.

Uzaktan Kimlik Tespiti

Uzaktan müşteri edinimi; gerçek zamanlı ve kesintisiz görüntülü iletişim, kimlik belgesinin güvenlik unsurları, NFC veya eşdeğer doğrulama, canlılık testi, biyometrik karşılaştırma, tek kullanımlık şifre ve kayıt bütünlüğü gibi kontrolleri gerektirir. 28 Şubat 2026 tarihli değişiklikle uzaktan kimlik tespiti tebliğinin kapsamına KVHS’ler açıkça eklenmiştir. 7

Kamusal Nüfuz Sahibi Kişiler

Müşteri veya gerçek faydalanıcının kamusal nüfuz sahibi kişi olup olmadığı belirlenmeli; yabancı PEP’ler ve riskli görülen yerli/uluslararası PEP ilişkilerinde üst yönetim onayı, fon kaynağı incelemesi ve sıkı izleme uygulanmalıdır. Görevden ayrılma, riskin kendiliğinden sona erdiği anlamına gelmez.

Şüpheli İşlem Bildirimi

İşlemin yasa dışı bahis, dolandırıcılık, kiralık hesap, fidye yazılımı, yaptırım ihlali, mixer/tumbler, gizlilik varlığı, zincirler arası köprü, mule hesap veya olağan dışı transfer modeliyle bağlantılı olduğuna dair bilgi, şüphe veya makul sebep varsa MASAK’a gizli şüpheli işlem bildirimi yapılır. Müşteriye bildirim yapıldığı açıklanamaz.

Uyum Görevlisi ve Uyum Birimi

Faaliyet izninden sonra otuz gün içinde uyum görevlisi ve en az bir uyum görevlisi yardımcısı atanmalıdır. Atama belgeleri belirlenen sürelerde MASAK’a iletilir. Uyum görevlisinin yönetim kuruluna erişimi, bağımsızlığı, yeterli bütçe ve personeli bulunmalıdır. 6

Seyahat Kuralı, Transfer Süreleri ve Stabil Kripto Limitleri

Seyahat Kuralı

Kripto transfer mesajında gönderici ve alıcı bilgileri güvenli biçimde taşınmalı; eksik veya doğrulanamayan bilgi için tamamlatma, iade, reddetme ve risk yükseltme prosedürü bulunmalıdır. Transfer yazılımı, yalnız blokzincir işlemini yayınlamakla yetinemez; eş zamanlı veri mesajı ve karşı taraf risk kontrolü gerekir.

Eksik veya Doğrulanamayan Transfer Verisi

Karşı taraf hizmet sağlayıcısından zorunlu bilgiler gelmiyorsa işlem otomatik biçimde tamamlanmamalıdır. Eksikliğin niteliğine göre bilgi isteme, transferi bekletme, iade veya reddetme, müşteri ve karşı taraf riskini yükseltme ve şüpheli işlem değerlendirmesi yapılmalıdır. Teknik sistem, blokzincir işleminin geri döndürülemezliğini dikkate alarak veri doğrulamasını yayın öncesine yerleştirmelidir.

48 Saat ve İlk Çekimde 72 Saat

Kayıtlı olmayan cüzdana veya seyahat kuralı benzeri veri paylaşma yükümlülüğü bulunmayan yabancı kuruluşa yapılacak belirli çekimlerde transfer, kripto varlığın alım, takas veya yatırma işleminden en az 48 saat sonra gerçekleştirilir; müşterinin ilk çekiminde bu süre en az 72 saattir. 6

Stabil Kripto Varlık Çekim Limitleri

Stabil kripto varlık çekimlerinde günlük 3.000 ABD Doları ve aylık 50.000 ABD Doları karşılığı limit uygulanır. Seyahat kuralının uygulandığı transferlerde limitler iki katına çıkarılabilir. Likidite sağlayıcılığı, piyasa yapıcılık veya arbitraj istisnası; müşteri bazında yönetim kurulu kararı, fon kaynağı belgeleri ve sürekli izlemeye bağlıdır. 6

En Az 20 Karakterlik İşlem Açıklaması

Platform tüm kripto transferlerinde müşteriden işlemin mahiyetini açıklayan en az 20 karakter uzunluğunda açıklama almalıdır. Genel veya anlamsız ifadelerin otomatik kabulü, kuralın amacını gerçekleştirmez; açıklama risk analizinde kullanılmalıdır. 6

Kişisel Verilerin Korunması ve Veri Yönetişimi

Uzaktan kimlik, yüz görüntüsü, liveness verisi, kimlik belgesi, cihaz parmak izi, IP, zincir üstü adres, işlem geçmişi ve risk skoru kişisel veri rejimini gündeme getirir. Biyometrik veri özel nitelikli veri olabilir. İşleme amacı, hukuki sebep, saklama süresi, erişim yetkisi, yurt dışı aktarım, tedarikçi ilişkisi ve veri ihlali müdahalesi KVKK bakımından ayrıca kurulmalıdır.

Aydınlatma ile Açık Rıza Aynı Şey Değildir

Mevzuattan doğan kimlik ve kayıt yükümlülükleri için her zaman açık rıza aranmaz; buna karşılık pazarlama, profil çıkarma veya zorunlu olmayan biyometrik kullanım farklı hukuki sebep gerektirebilir. Aydınlatma metni, sözleşme, çerez tercihi ve ticari ileti izni ayrı işlevlere sahiptir.

Yurt Dışı Veri Aktarımı

Bulut, e-posta, müşteri destek, blokzincir analizi veya grup şirketi entegrasyonu veriyi yurt dışına çıkarabilir. KVKK’daki aktarım mekanizmaları, standart sözleşmeler ve veri yerleşimi başvuru öncesi haritalanmalıdır. SPK ve MASAK’ın veriye erişim ve Türkiye’de kayıt tutma gerekleri tedarikçi sözleşmelerinde güvence altına alınmalıdır.

Yabancı Platformlar ve Sınır Ötesi Hizmet

Yurt dışında kurulu bir platformun Türkiye’de şirketi bulunmaması, Türkiye’ye yönelik faaliyet yasağını bertaraf etmez. Türkiye’de işyeri açmak, Türkçe internet sitesi oluşturmak veya Türkiye’de yerleşik kişi/kurumlar aracılığıyla doğrudan ya da dolaylı tanıtım ve pazarlama yapmak, faaliyetin Türkiye’ye yönelik kabul edilmesine yol açar. Bu durumda izinsiz faaliyet, içerik çıkarma/erişim engeli ve ceza sorumluluğu doğabilir. 1

Ters Talep Savunması

Bir Türk kullanıcının yabancı platforma kendi inisiyatifiyle erişmesi ile platformun Türkiye’yi hedeflemesi aynı değildir. Ancak Türkçe kampanya, yerel influencer, TL paritesi, Türk müşteri hizmeti, yerel ödeme kanalı, Türkiye’ye özel bonus veya satış ekibi varsa “müşteri kendiliğinden geldi” savunması zayıflar.

Türkiye’ye Yönelme Göstergeleri

Dil tek başına her olayda belirleyici değildir; alan adı, uygulama mağazası hedeflemesi, reklam bütçesi, Türkiye’deki kullanıcı edinim programı, yerel temsilci veya çağrı merkezi, Türk Lirası işlem çiftleri, yerel banka ilişkileri ve Türkiye’ye özel sözleşme/ücret yapısı birlikte değerlendirilir. Grup içindeki bir Türk şirketinin pazarlama veya müşteri destek rolü de sınır ötesi faaliyetin niteliğini değiştirebilir.

Yabancı Grup Şirketiyle Teknoloji veya Likidite İlişkisi

Yabancı grup şirketinden yazılım, marka, likidite, emir yönlendirme veya saklama hizmeti alınması; hizmetin fiilen yurt dışına devri anlamına gelebilir. Veri erişimi, müşteri emri, cüzdan kontrolü ve fiyat oluşumu hangi şirketteyse lisans kapsamı ve dışarıdan hizmet kuralları buna göre incelenir.

Kripto Varlıkların Ödemelerde Kullanılması

TCMB düzenlemesi uyarınca kripto varlıklar ödemelerde doğrudan veya dolaylı biçimde kullanılamaz; ödeme hizmeti sağlayıcıları bu şekilde iş modeli geliştiremez ve ödeme/e-para kuruluşları kripto platformlarına veya bu platformlardan yapılacak fon aktarımlarına aracılık edemez. Platformun banka entegrasyonu ile ödeme kuruluşu entegrasyonu aynı hukuki rejime tabi değildir. 8

Bir tokenin alışverişte fiyatlandırma veya ödeme aracı olarak kullanılmasının planlanması, yalnız SPK izniyle çözülemez. Ürün tasarımı TCMB düzenlemeleri, 6493 sayılı Kanun ve gerekiyorsa elektronik para mevzuatı bakımından ayrıca incelenmelidir.

Muhasebe, Vergi ve Yıllık Kurumsal Katkılar

Vergi Modeli Faaliyet Modeline Göre Kurulmalıdır

Platform komisyonu, spread geliri, listeleme bedeli, saklama geliri, teknoloji hizmeti, kendi portföy işlemi, token dağıtımı ve yabancı grup ödemeleri aynı vergi niteliğinde değildir. Kurumlar vergisi, KDV veya BSMV, transfer fiyatlandırması, örtülü sermaye, stopaj, kur farkı ve belge düzeni iş modeline göre değerlendirilmelidir. “Kripto işlemleri vergisizdir” veya “her işlemde aynı vergi vardır” biçimindeki genellemeler güvenli değildir.

SPK ve TÜBİTAK Payları

Kanun uyarınca platformlar, bir önceki yılın faiz gelirleri hariç tüm gelirlerinin yüzde 1’ini SPK bütçesine, yüzde 1’ini blokzincir ve ilgili bilişim teknolojilerinin geliştirilmesinde kullanılmak üzere TÜBİTAK bütçesine, ilgili yılın mayıs ayı sonuna kadar öder. Bu yük, klasik vergi hesabından ayrı bir düzenleyici maliyettir. 1

Bütçe Planlamasında Gözden Kaçan Giderler

• Kuruluş ve faaliyet izin harçları ile yıllık düzenleyici katkılar.
• Asgari sermaye dışında özsermaye ve likit rezerv ihtiyacı.
• Saklama kuruluşu, banka, MKK, bağımsız denetim ve rezerv kanıt maliyetleri.
• Siber güvenlik, HSM/MPC, blokzincir analizi, loglama ve iş sürekliliği altyapısı.
• Nitelikli personel, uyum görevlisi, iç kontrol, risk ve denetim fonksiyonları.
• Hukuk, vergi, veri koruma, marka ve sözleşme danışmanlığı.

Reklam, Promosyon, Influencer ve Ticari İletişim

KVHS’nin reklam ve ticari iletişimi; izin kapsamını, riskleri ve ürünün niteliğini doğru yansıtmalıdır. Kesin getiri, risksiz kazanç, devlet güvencesi, “SPK onaylı coin”, mevduat benzeri koruma veya yatırımcı tazmini izlenimi yaratılması hukuka aykırılık doğurabilir. Bonus, referans, hediye token, çekiliş ve influencer kampanyaları; yatırımcı davranışını teşvik eden içerik ve reklam yasağı/ölçülülük bakımından önceden incelenmelidir.

Influencer İçeriği Şirket Dışında Sayılmaz

Ajans veya influencer tarafından yayımlanan içerik, sözleşmesel kontrol ve menfaat ilişkisi nedeniyle şirketin ticari iletişimi sayılabilir. İçerik onay akışı, zorunlu risk uyarıları, arşiv, kampanya hedefleme ve silme/düzeltme mekanizması kurulmalıdır.

Müşteri Koruması, Sorumluluk ve Uyuşmazlıklar

Faaliyet İzni Kamu Garantisi Değildir

SPK yetkisi, işlemlerin kamu güvencesinde olduğu anlamına gelmez. Kripto varlıklar yatırımcı tazmin sistemine tabi değildir; banka nezdindeki kripto ve ilgili nakitler mevduat sigortası kapsamına girmez. Müşteri, karşı taraf, teknoloji ve piyasa riskini taşımaya devam eder. 1

Şirketin ve Yöneticilerin Sorumluluğu

KVHS, hukuka aykırı faaliyetleri ile nakit ödeme veya kripto teslim yükümlülüğünü yerine getirememesinden doğan zarardan sorumludur. Zarar şirketten tazmin edilemiyorsa, kusurları ve durumun gereklerine göre mensupların şahsi sorumluluğu gündeme gelebilir. Siber saldırı, bilgi güvenliği ihlali ve personel davranışı kaynaklı kayıplar için Kanunda TBK m.71’e dayalı özel sorumluluk düzenlenmiştir. 1

SIM Değişikliği ve Hesap Ele Geçirme

Hesap ele geçirme uyuşmazlıklarında telefon operatörü, platform, kullanıcı ve suç failleri arasındaki kusur ve illiyet ayrı incelenir. Yargıtay 3. Hukuk Dairesinin 15.04.2026 tarihli E.2025/5307, K.2026/2209 sayılı kararı, olay tarihi itibarıyla yürürlükte olmayan yeni SPK bilgi sistemi kurallarının geçmiş olaya uygulanamayacağını vurgulamıştır. Bu karar, güncel rejimin 2024 öncesi vakalara otomatik uygulanmaması bakımından önemlidir; 2026’daki KVHS yükümlülüklerinin kapsamını daraltmaz. 9

Deliller

• Müşteri sözleşmesi, risk formu, açık rıza ve aydınlatma kayıtları.
• IP, cihaz, oturum, SIM değişikliği, kimlik doğrulama ve işlem onay logları.
• Cüzdan adresleri, işlem hashleri, blokzincir analiz raporları ve karşı taraf bilgileri.
• Çağrı merkezi, e-posta, destek kaydı, alarm ve olay müdahale kayıtları.
• Yetki matrisi, personel erişim logu, değişiklik ve sürüm kayıtları.
• Saklama kuruluşu, banka, MKK ve platform mutabakat kayıtları.

İzinsiz Faaliyet, İdari Tedbir ve Ceza Sorumluluğu

İzinsiz Kripto Varlık Hizmet Sağlayıcılığı

İzin alınmaksızın KVHS faaliyeti yürütülmesi; faaliyetin durdurulması, reklamların kaldırılması, içeriğin çıkarılması veya erişimin engellenmesi yanında ceza soruşturmasına yol açabilir. Kanunun 109/A maddesi izinsiz faaliyet için üç yıldan beş yıla kadar hapis ve beş bin günden on bin güne kadar adli para cezası öngörür. SPK’nın 2026 bültenlerinde izinsiz platform ve bu faaliyete yardım eden alan adı/altyapı ilişkileri hakkında suç duyurusu kararları yayımlanmıştır. 110

Faaliyete Aracılık ve Altyapı Sağlama Riski

İzinsiz platforma marka, alan adı, yerel ödeme, müşteri yönlendirme, çağrı merkezi, tanıtım veya teknik altyapı sağlayan kişi ve şirketlerin rolü ayrıca incelenebilir. Salt genel amaçlı hizmet sunumu ile izinsiz faaliyetin bilinçli biçimde sürdürülmesini kolaylaştıran özel iş birliği aynı değildir; sözleşme, gelir paylaşımı, kontrol ve fiilî katkı düzeyi ceza ve idari tedbir riskini etkiler.

Zimmet

Görevi nedeniyle kendisine tevdi edilen veya koruma/saklama yükümlülüğü bulunan para, diğer mal veya kripto varlığı kendisinin ya da başkasının zimmetine geçiren yönetim kurulu üyeleri ve mensuplar hakkında sekiz yıldan on dört yıla kadar hapis ve adli para cezası; hileli durumda daha ağır ceza öngörülür. Faaliyet izni kaldırılan şirketin kaynaklarının hâkim ortaklarca şirketi tehlikeye düşürecek biçimde kullanılması da özel zimmet düzenlemesine tabidir. 1

Faaliyetin Geçici Durdurulması veya İznin İptali

Mali yapının zayıflaması, müşteri ödeme/teslim yükümlülüklerinin yerine getirilememesi, kuruluş veya faaliyet şartlarının kaybı, yanlış beyan, bilgi sistemi ve iç sistem eksiklikleri faaliyetin geçici durdurulmasına veya izinlerin iptaline yol açabilir. Şart kaybı üç iş günü içinde Kurula bildirilmelidir.

SPK Kararlarına Karşı Hukuki Yol

Kuruluş veya faaliyet izni başvurusunun reddi, işlemden kaldırma, faaliyetin durdurulması, izin iptali, idari para cezası veya erişim tedbiri; işlemin niteliğine göre idari yargı denetimine konu olabilir. Dava açılması işlemi kendiliğinden durdurmaz. Yetki, şekil, gerekçe, maddi olgu, ölçülülük ve eşitlik ilkeleri; teknik raporlar ve başvuru dosyasıyla birlikte değerlendirilmelidir.

Yürütmenin durdurulması talebi, yalnız ekonomik zarar iddiasına değil; açık hukuka aykırılık ve telafisi güç zarar şartlarına dayanmalıdır. Faaliyetin müşteri varlıkları veya finansal istikrar bakımından risk taşıdığı olayda kamu yararı değerlendirmesi ayrıca önemlidir.

Geçiş Dönemi Listeleri ve Eski Süreler

2024’teki bir aylık beyan süresi ve 2025-2026 geçiş takvimi, kanun yürürlüğe girdiğinde faaliyette olan kuruluşlar içindi. Yeni kurulacak şirketler için geçiş rejimi değil, III-35/B.1 kapsamındaki kuruluş izni ve faaliyet izni süreci uygulanır. Eski makaledeki “02.08.2024’e kadar bildirim” ve “başvuru sürecinde faaliyete devam” açıklamaları yeni girişimci bakımından güncel değildir.

SPK’nın internet sitesindeki “Faaliyette Bulunanlar Listesi” halen geçici liste olarak yayımlanmakta ve Kurul açıkça, listede bulunmanın yetkilendirme anlamına gelmediğini belirtmektedir. Bir şirketin lisans durumunu değerlendirirken yalnız geçici liste değil, yetki belgesi ve izin kapsamı incelenmelidir. 11

Adım Adım Kuruluş ve Lisans Yol Haritası

1. İş modelini tanımlayın: platform, saklama, transfer, ilk satış, yatırım danışmanlığı, teknoloji veya grup içi hizmet ayrımını yapın.
2. Hukuki kapsam görüşü hazırlayın: hangi hizmetlerin izne tabi, hangilerinin yasak veya başka kurum yetkisinde olduğunu belirleyin.
3. Ortaklık ve finansman yapısını kurun: gerçek faydalanıcı, sermaye kaynağı, yabancı ortak belgeleri ve kontrol haklarını şeffaflaştırın.
4. Esas sözleşme ve yönetim modelini tasarlayın: faaliyet konusu, unvan, paylar, yönetim kurulu, murahhas yetki ve çıkar çatışmasını düzenleyin.
5. Kuruluş izni dosyasını güncel SPK formlarına göre tamamlayın ve Kurula sunun.
6. Kuruluş izni sonrasında şirketi tescil edin, sermayeyi ödeyin ve kurumsal hesapları açın.
7. Teknik mimariyi devreye alın: emir, cüzdan, saklama, güvenlik, log, raporlama, felaket kurtarma ve MKK entegrasyonunu tamamlayın.
8. Saklama kuruluşu ve banka ilişkilerini kurun; sözleşme, mutabakat ve varlık aktarım akışlarını test edin.
9. İç sistemleri ve personeli tamamlayın: yönetim, genel müdür, risk, iç kontrol, denetim, operasyon, bilgi güvenliği ve uyum.
10. Müşteri belgelerini hazırlayın: sözleşme, risk formu, ücret tarifesi, KVKK metinleri, şikâyet ve hesap güvenliği süreçleri.
11. Bağımsız denetim, rezerv kanıtı, sızma testi ve iş sürekliliği testlerindeki eksikleri kapatın.
12. Kuruluş izninden itibaren altı aylık süreyi kaçırmadan faaliyet izni başvurusunu yapın; yetki belgesi alınmadan faaliyete başlamayın.

Kuruluş ve Faaliyet İzni İçin Belge Kontrol Listesi

Kurucu ve Ortak Belgeleri

• Kimlik/pasaport, ikamet ve iletişim bilgileri.
• Adli sicil ve gerekli mali/itibar beyanları.
• Özgeçmiş, eğitim ve tecrübe belgeleri.
• Mali güç, servet, gelir ve sermaye kaynağı belgeleri.
• Tüzel kişi ortaklarda kuruluş belgeleri, finansal tablolar ve grup şeması.
• Yabancı belgelerde apostil/tasdik ve yeminli tercüme.
• Doğrudan/dolaylı ortaklık ve nihai faydalanıcı şeması.

Kurumsal Belgeler

• SPK formatına uygun esas sözleşme taslağı.
• İş planı, bütçe, gelir modeli ve üç yıllık finansal projeksiyon.
• Organizasyon şeması, görev tanımları ve yetki matrisi.
• Yönetim kurulu ve komite çalışma esasları.
• İç kontrol, risk yönetimi, iç denetim ve çıkar çatışması politikaları.
• MASAK uyum programı, risk politikası ve şüpheli işlem süreçleri.
• Dışarıdan hizmet ve tedarikçi envanteri.

Teknik Belgeler

• Sistem mimarisi, veri akışları, ağ ve güvenlik diyagramları.
• Cüzdan ve anahtar yaşam döngüsü, sıcak-soğuk cüzdan limitleri.
• Emir, işlem, fiyat gözetimi ve piyasa bütünlüğü sistemleri.
• Müşteri tanıma, seyahat kuralı ve blokzincir analiz entegrasyonu.
• Loglama, olay müdahale, yedekleme ve felaket kurtarma planı.
• Saklama, banka ve MKK entegrasyonları ile test sonuçları.
• Bağımsız denetim, rezerv kanıtı, sızma testi ve zafiyet kapatma kayıtları.

Sık Yapılan Hatalar

• Kripto şirketi için yalnız ticaret sicilinde anonim şirket kurmanın yeterli sanılması.
• Eski 50.000.000 TL sermaye bilgisinin kullanılmaya devam edilmesi.
• “En az üç ortak” şartı varmış gibi ortaklık yapısının gereksiz biçimde değiştirilmesi; doğru kuralın asgari üç yönetim kurulu üyesi olduğunun gözden kaçırılması.
• Geçici listede bulunmanın faaliyet izni sayılması.
• Kuruluş izni ile faaliyet izninin karıştırılması ve yetki belgesinden önce müşteri kabulü.
• Teknik altyapının lisans dosyasından sonra kurulabileceğinin düşünülmesi.
• Saklama, MKK ve banka entegrasyonlarının ürün lansmanından sonra çözülmeye çalışılması.
• MASAK uyumunun yalnız kimlik fotoğrafı almak sanılması.
• Yabancı grup şirketinin Türk kullanıcıya hizmet vermesinin lisans dışı kabul edilmesi.
• Reklamda “SPK onaylı”, “garantili”, “risksiz” veya mevduat benzeri ifadeler kullanılması.
• Bulut, yazılım veya çağrı merkezi hizmeti dışarıdan alındığında sorumluluğun tedarikçiye geçtiğinin düşünülmesi.
• Müşteri varlığı, şirket varlığı ve likidite sağlayıcı hesabının sistemsel olarak ayrıştırılmaması.
• Vergi ve düzenleyici katkı maliyetlerinin iş planına dâhil edilmemesi.

Sonuç

Türkiye’de kripto varlık hizmet sağlayıcılığı, artık genel şirketler hukuku çerçevesinde basit bir anonim şirket kuruluşu değildir. 2024 kanun değişikliği, 13 Mart 2025 tarihli iki temel SPK Tebliği, MASAK’ın sıkılaştırılmış tedbirleri ve 2026’da güncellenen sermaye eşikleri; sektöre girişi iki aşamalı izin, yüksek sermaye, güçlü yönetişim, bağımsız denetim, güvenli saklama ve sürekli uyum rejimine bağlamıştır.

Başarılı bir lisans projesi, hukuk ekibinin başvuru formunu doldurmasıyla değil; ürün, teknoloji, finans, saklama, siber güvenlik, MASAK, vergi ve kurumsal yönetim ekiplerinin aynı iş modeli üzerinde çalışmasıyla mümkündür. En kritik karar, şirket kurulmadan önce verilir: Hangi hizmet sunulacak, müşteri varlığına kim erişecek, gelir nereden elde edilecek ve düzenleyici sorumluluk hangi tüzel kişide taşınacaktır?

Mevzuat ve parasal eşikler hızlı değiştiğinden, başvuru dosyası güncel SPK formları, bültenleri ve MASAK rehberleri üzerinden son kez denetlenmeden sunulmamalıdır. Bu makale genel hukuki bilgi verir; somut iş modeline ilişkin lisans kapsamı ve başvuru stratejisi, teknik mimari ve ortaklık belgeleri görülerek belirlenmelidir.

Sıkça Sorulan Sorular

Kripto para şirketi kurmak için yalnız anonim şirket kurmak yeterli midir?

Hayır. Anonim şirket kurulması gerekli olsa da tek başına faaliyet hakkı vermez. SPK’dan kuruluş izni, ardından faaliyet izni ve yetki belgesi alınmalıdır.

2026’da kripto platformu için asgari sermaye ne kadardır?

Platformlar için 250.000.000 TL’dir. Sermayenin tamamı nakden ödenmeli; özsermaye bu tutarın altına düşmemelidir. Tutarın başvuru tarihinde yeniden kontrol edilmesi gerekir.

Kripto saklama kuruluşu için asgari sermaye ne kadardır?

2026 yılı için 630.000.000 TL’dir. Saklanan müşteri varlığı arttıkça ilave özsermaye şartı da doğabilir.

Şirkette en az üç ortak bulunması zorunlu mudur?

Hayır. Mevzuattaki sayı yönetim kuruluna ilişkindir: yönetim kurulu en az üç üyeden oluşur. Ortak sayısı ayrı bir şirketler hukuku meselesidir.

Kuruluş izni alındıktan sonra hemen faaliyet başlanabilir mi?

Hayır. Kuruluş izni şirketin kurulmasına izin verir. Müşteri kabulü ve hizmet için faaliyet izni ile yetki belgesinin alınması gerekir.

Faaliyet iznine ne kadar sürede başvurulmalıdır?

Kuruluş iznini takiben altı ay içinde başvurulmalıdır. SPK gerekli görürse süreyi toplam bir yılı aşmamak üzere uzatabilir.

SPK’nın geçici listesinde olmak lisans anlamına gelir mi?

Hayır. SPK açıkça, Faaliyette Bulunanlar Listesi’nde yer almanın yetkilendirme anlamına gelmediğini belirtmektedir.

Yabancı kişi kripto platformuna ortak olabilir mi?

Kategorik bir vatandaşlık yasağı yoktur. Ancak ortaklık zinciri, nihai faydalanıcı, mali güç, adli durum ve yabancı belgeler ayrıntılı incelenir.

Yönetim kurulu üyesi yabancı olabilir mi?

Mevzuattaki nitelikleri taşıması ve gerekli belgeleri sunması koşuluyla olabilir. Genel müdürün ise Türkiye’de mukim ve tam zamanlı olması gerekir.

Müşteri kripto varlıklarının ne kadarı saklama kuruluşunda tutulmalıdır?

Kendi cüzdanında tutulmayan müşteri varlıklarının asgari yüzde 95’i yetkili saklama kuruluşunda tutulur. Platform cüzdanı oranları ayrıca sınırlandırılmıştır.

Kripto platformu kaldıraçlı işlem sunabilir mi?

Hayır. Listelenen kripto varlıklar kaldıraçlı, kredili, türev, açığa satış veya ödünç işlemlere konu edilemez.

Kripto platformu yatırım danışmanlığı verebilir mi?

Şartları varsa verebilir. 2026’da müşterinin ilgili platformdaki kripto varlıklarının cari değeri en az 60.000.000 TL olmalı; nitelikli personel ve araştırma birimi bulunmalıdır.

Platform müşteri portföyünü yönetebilir mi?

Hayır. Müşteri portföyünün vekâleten veya sözlü yetkiyle yönetilmesi yasaktır.

Uzaktan kimlik tespiti yapılabilir mi?

Evet; ancak SPK ve MASAK düzenlemelerindeki canlılık, kimlik doğrulama, görüntülü iletişim, risk değerlendirmesi ve kayıt şartlarına uyulmalıdır.

İlk kripto çekiminde bekleme süresi var mı?

Belirli dış cüzdan veya uyumsuz yabancı kuruluş transferlerinde ilk çekim için en az 72 saat, sonraki işlemlerde en az 48 saat bekleme uygulanır.

Stabil kripto varlık çekim limiti nedir?

Kural olarak günlük 3.000 ABD Doları ve aylık 50.000 ABD Doları karşılığıdır. Seyahat kuralı uygulanan transferlerde iki kat uygulanabilir.

Kripto transferinde açıklama zorunlu mudur?

Evet. Platform tüm transferlerde işlemin mahiyetine ilişkin en az 20 karakterlik açıklama almalıdır.

Kripto varlıklarla ödeme yapılabilir mi?

TCMB düzenlemesi doğrudan veya dolaylı kripto ödemesini ve buna yönelik ödeme hizmetlerini yasaklamaktadır.

Faaliyet izni müşteri varlığını devlet güvencesine alır mı?

Hayır. SPK izni kamu garantisi değildir; kripto varlıklar yatırımcı tazmin sistemi ve mevduat sigortası kapsamında değildir.

Yabancı platform Türkçe site açarsa Türkiye lisansı gerekir mi?

Türkçe site, Türkiye’de ofis veya Türkiye’ye yönelik doğrudan/dolaylı pazarlama, faaliyetin Türkiye’ye yönelik sayılmasına yol açabilir ve izinsiz faaliyet riski doğurur.

Teknoloji şirketi olarak cüzdan yazılımı sunmak lisans gerektirir mi?

Müşteri özel anahtarını kontrol etmeden yalnız yazılım sağlanması farklı değerlendirilebilir. Ancak anahtar yönetimi, transfer veya müşteri varlığı üzerinde kontrol varsa saklama/platform izni gündeme gelir.

İzinsiz kripto hizmet sağlayıcılığının cezası nedir?

Kanunda üç yıldan beş yıla kadar hapis ve beş bin günden on bin güne kadar adli para cezası öngörülmektedir; ayrıca erişim ve faaliyet tedbirleri uygulanabilir.

Platformun SPK ve TÜBİTAK’a yıllık ödeme yükümlülüğü var mıdır?

Evet. Bir önceki yılın faiz gelirleri hariç tüm gelirlerinin yüzde 1’i SPK’ya, yüzde 1’i TÜBİTAK’a mayıs sonuna kadar ödenir.

Başvuru reddedilirse dava açılabilir mi?

İşlemin niteliğine göre idari yargıda iptal davası ve gerekli şartlarda yürütmenin durdurulması talep edilebilir. Dava, işlemi kendiliğinden durdurmaz.

Başvuru öncesinde en önemli çalışma nedir?

İş modeli ve lisans kapsamı analizidir. Ürün, saklama, müşteri fon akışı, yabancı grup ilişkisi ve gelir modeli netleşmeden şirket ve teknik altyapı kurulması yüksek maliyetli hatalara yol açabilir.

Kaynakça

1. 6362 sayılı Sermaye Piyasası Kanunu - güncel metin Kaynak

2. Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ (III-35/B.1) Kaynak

3. Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ (III-35/B.2) Kaynak

4. SPK 2025/68 sayılı Bülten - 2026 yılı yeniden değerlenmiş tutarlar Kaynak

5. SPK - Kripto Varlık Hizmet Sağlayıcıları Başvuru Süreçleri Kaynak

6. MASAK - Kripto Varlık Hizmet Sağlayıcılar Yükümlülüklere Uyum Rehberi Kaynak

7. SPK - Uzaktan Kimlik Tespiti ve Elektronik Sözleşme Tebliği (III-42.1) Kaynak

8. TCMB - Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik Kaynak

9. Yargıtay 3. Hukuk Dairesi, E. 2025/5307, K. 2026/2209, T. 15.04.2026 Kaynak

10. SPK 2026/51 sayılı Bülten - izinsiz KVHS faaliyetleri hakkında suç duyuruları Kaynak

11. SPK - Faaliyette Bulunanlar Listesi (Geçici Liste) Kaynak

12. Güneş & Güneş Hukuk Bürosu - güncellenen eski makale Kaynak