Kripto Varlık Hizmet Sağlayıcılarının Yükümlülükleri: SPK ve MASAK Rehberi

Özet

Türkiye’de kripto varlık hizmet sağlayıcısının yükümlülükleri yalnızca kimlik belgesi almak veya şüpheli işlem bildirmekten ibaret değildir. Kuruluş ve faaliyet izni, yeterli sermaye, müşteri varlıklarının ayrıştırılması, güvenli saklama ve transfer, etkin uyum programı, kayıtların korunması ve müşteriye karşı sorumluluk birlikte değerlendirilir. SPK listesinde bulunmak faaliyet izni; bir kripto varlığın listelenmesi de devlet güvencesi değildir. Bu rehber, 2024–2026 düzenlemeleri ışığında işletmelerin yapması gerekenleri ve müşterilerin ihlal hâlinde başvurabileceği yolları açıklar. [1, 2, 3, 6]

Kripto varlık hizmet sağlayıcısı kimdir, hangi faaliyetler kapsamdadır?

6362 sayılı Sermaye Piyasası Kanunu; kripto varlığı, dağıtık defter teknolojisi veya benzer bir teknolojiyle elektronik olarak oluşturulup saklanabilen, dijital ağlar üzerinden dağıtılan ve değer veya hak ifade edebilen gayri maddi varlık olarak tanımlar. Kripto varlık hizmet sağlayıcısı kavramı ise platformları, saklama hizmeti sağlayan kuruluşları ve Kanuna dayanılarak belirlenen diğer hizmet sağlayıcıları kapsar. Günlük dilde kullanılan “kripto borsası” ifadesi, bütün kuruluşların aynı yetkilere sahip olduğunu göstermez. [1]

Platform, alım satım ve ilk satış veya dağıtım gibi işlemlerin gerçekleştirildiği organizasyonu; saklama hizmeti ise kripto varlıkların veya bunlar üzerinde transfer yetkisi sağlayan özel anahtarların saklanması ve yönetilmesini ifade eder. Aynı ekonomik grupta platform, banka, yazılım şirketi ve saklama şirketi bulunması, bunların tek tüzel kişi olduğu anlamına gelmez. Sözleşmenin hangi şirketle kurulduğu, nakdin kimin hesabına yatırıldığı ve kripto varlığı kimin kontrol ettiği ayrı belirlenmelidir. [1, 3]

Yalnızca yazılım geliştiren veya müşterinin özel anahtarını kontrol etmeyen bir teknoloji sağlayıcısı ile müşteri hesabına transfer gerçekleştiren işletme aynı konumda değildir. Bununla birlikte faaliyete “yazılım”, “merkeziyetsiz finans” veya “cüzdan” adı verilmesi tek başına kapsam dışında kalmayı sağlamaz. Hukuki nitelendirme; varlıkların kontrolü, müşteriye sunulan hizmet, ücretlendirme, emir iletimi ve işlemlerdeki fiilî rol üzerinden yapılır. NFT, oyun içi varlık ve benzeri ürünlerde de isme değil, sağlanan hak ve hizmete bakılır. [1, 2, 3]

Bu nedenle yeni bir iş modeli kurulurken önce faaliyet haritası hazırlanmalıdır. Hangi şirket müşteri kabul edecek, emir alacak, transferi onaylayacak, varlık saklayacak ve müşteriyle sözleşme kuracaktır? Bu sorular cevaplanmadan yalnız ticaret sicili kaydı yaptırılması veya yabancı ülkede şirket kurulması, Türkiye’deki izin sorununu çözmez.

Düzenleyici çerçeve nasıl değişti?

Kripto varlık hizmet sağlayıcıları 1 Mayıs 2021’de MASAK yükümlüleri arasına alınmıştır. 2 Temmuz 2024’te yayımlanan 7518 sayılı Kanun ile SPK’nın kuruluş, faaliyet, denetim ve yaptırım yetkisi belirginleşmiş; 13 Mart 2025 tarihli III-35/B.1 ve III-35/B.2 sayılı tebliğler ile ayrıntılı kurallar getirilmiştir. MASAK’ın 2024 sonu ve 2025 düzenlemeleri de finansal kuruluş niteliği, uyum programı ve transfer bilgileri bakımından yeni bir çerçeve oluşturmuştur. [1, 2, 3, 7]

2026 bakımından özellikle üç gelişme birlikte okunmalıdır: SPK’nın 2025/68 sayılı bültenindeki parasal tutarlar; 26 Mart 2026 tarihli 18/617 sayılı geçiş kararı; 23 Eylül 2026 tarihli MASAK Genel Tebliği Sıra No: 34. Bunlara MKK’nın Kripto Varlık Merkezi Kayıt Sistemi uygulamaları ve yabancı gerçek kişilerin pasaportla uzaktan kimlik tespitine ilişkin 2026 değişikliği de eklenmiştir. [4, 5, 12, 13, 14, 15]

SPK, kuruluşun piyasada hangi hizmeti hangi şartlarla sunabileceğini; MASAK ise suç gelirlerinin aklanması, terörizmin finansmanı ve ilgili mali suç risklerinin önlenmesine yönelik tedbirleri düzenler. BDDK, bankaların saklama faaliyeti yönünden; TÜBİTAK, teknik altyapı kriterleri yönünden; MKK, kayıt ve mutabakat altyapısı yönünden; KVKK ise kişisel veriler yönünden ayrı işleve sahiptir. Bir kurumun şartlarını yerine getirmek diğer kurumların yükümlülüklerini ortadan kaldırmaz. [1, 2, 7, 14, 16]

SPK izni ve listede bulunma neden aynı şey değildir?

Kuruluş izni, faaliyet izni ve yetki belgesi

Kripto varlık hizmet sağlayıcılarının kurulabilmesi ve faaliyete başlaması SPK iznine bağlıdır. Şirketin anonim şirket biçiminde kurulması, pay yapısı, ortakların nitelikleri, sermaye, organizasyon, bilgi sistemleri ve faaliyet kapsamı bu izin incelemesinin parçalarıdır. Kuruluş izni, müşteriye hizmet vermek için gereken bütün şartların sağlandığı anlamına gelmez. III-35/B.1’deki faaliyet izni ve yetki belgesi aşamaları ayrıca tamamlanmalıdır. [1, 2]

Kuruluş iznini takiben faaliyet izni başvurusunda bulunulmasına ilişkin genel süre ile önceden faaliyette bulunanlar için getirilen geçiş süreleri karıştırılmamalıdır. Tebliğ m.17 kapsamındaki altı aylık başvuru süresi ve Kurulun uzatma yetkisi, geçiş listesindeki bütün işletmelere tek kalıp hâlinde uygulanmaz. Yeni başvuruda hangi izin kararının alındığı ve sürenin hangi olayla başladığı dosya üzerinden belirlenmelidir. [2]

SPK’nın “Faaliyette Bulunanlar Listesi”, geçiş sürecindeki bildirim ve değerlendirmelere ilişkin kamuoyu bilgisidir. SPK, listede bulunmanın mevzuat uyarınca yetkilendirilmiş olmak anlamına gelmediğini açıkça belirtmiştir. Liste üzerindeki güncel dipnotlar, faaliyet sınırlamaları ve kuruluşun kendi durumuna ilişkin kararlar da okunmalıdır. Bir bankanın saklama izni ile aynı gruptaki platformun işlem yapma yetkisi birbirinin yerine kullanılamaz. [6, 25]

26 Mart 2026 tarihli kararın sınırı

SPK’nın 18/617 sayılı kararı; geçiş kapsamındaki platformların saklama sözleşmesi imzalayıp Kurula sunması için tanınan süre ile Faaliyette Bulunanlar Listesi’ndeki kuruluşların yetki belgesi alması için tanınan sürenin, yetkilendirilecek saklama kuruluşlarının yaygın hizmet vermeye başlamasının ardından belirlenmesini öngörür. Kararın metni yeni bir sabit son gün ilan etmez. [5]

Bu karar genel bir mevzuat muafiyeti değildir. Kimlik tespiti, müşteri varlıklarını koruma, doğru reklam, şüpheli işlem bildirimi ve kayıt düzeni gibi bütün yükümlülüklerin ertelendiği sonucu çıkarılamaz. İşletmenin geçiş kapsamı, daha sonra kendisi hakkında verilmiş kararlar ve ilgili hükmün yürürlük durumu ayrı incelenmelidir. Müşteriye yönelik “SPK lisanslı” açıklaması da ancak gerçek yetkilendirme kaydıyla bağdaşmalıdır. [1, 2, 5, 6]

2026 sermaye, özsermaye ve mali yükümlülükleri nelerdir?

SPK’nın 31 Aralık 2025 tarihli 2025/68 sayılı bülteninde 2026 için belirlenen tutarlar esas alındığında, platformlar bakımından asgari kuruluş sermayesi 250.000.000 TL, kripto varlık saklama kuruluşları bakımından 630.000.000 TL’dir. Tebliğin ilk yayımlandığı dönemdeki 150 milyon ve 500 milyon TL tutarları güncel kuruluş tutarı gibi kullanılamaz. Bankaların saklama faaliyeti yönünden tabi olduğu özel rejim de ayrıca değerlendirilir. [3, 4]

Kuruluş sermayesi ile faaliyet sırasında korunacak özsermaye, sermaye yeterliliği tabanı ve likit rezerv aynı büyüklük değildir. Sermaye yeterliliği tabanı, risk karşılığı ve faaliyet giderleri üzerinden; borçlanma sınırı ve dönen varlık yeterliliği ise kendi hesaplarıyla izlenir. III-35/B.2 m.34/3’teki yıllık uyum zamanı da parasal güncellemelerin takvimine dâhildir. Sadece ticaret sicilindeki sermaye rakamına bakılması mali yeterliliği kanıtlamaz. [3, 4]

Platformların önceki yıl faiz gelirleri dışındaki gelirlerinin yüzde biri SPK, yüzde biri TÜBİTAK bütçesine, Kanun m.130/5 uyarınca ilgili yılın mayıs ayı sonuna kadar ödenir. Bu tutar yatırımcının kârından alınan bir kripto işlem vergisi değildir; platformun kurumsal yükümlülüğüdür. MKK hizmet ücretleri, vergi ve muhasebe yükümlülükleri, denetim ve saklama giderleri bundan ayrıdır. [1, 24]

Yönetim kurulu ve uyum görevlisi hangi sorumlulukları üstlenir?

Yönetim kurulu, iç kontrol, risk yönetimi, iç denetim ve gerekli organizasyonu kurmakla yükümlüdür. İlgili görevlerin atanmış kişilere verilmesi, yönetimin gözetim sorumluluğunu ortadan kaldırmaz. MASAK uyum programında kurum politikaları, risk yönetimi, izleme ve kontrol, uyum görevlisi ve yardımcısı, eğitim ve iç denetim birlikte bulunmalıdır. Programın işletmenin kapsamına uygun ve etkin yürütülmesinden nihai olarak yönetim kurulu sorumludur. [2, 7, 9]

Uyum görevlisinin görevi yalnız bildirim formu doldurmak değildir. Müşteri kabulünde tereddütlü durumlara müdahale edebilmesi, satış biriminden bağımsız değerlendirme yapabilmesi, kayıtlara erişebilmesi ve gerekli konuları yönetim düzeyine taşıyabilmesi gerekir. Şüpheli işlem incelemesini satış hedefi, önemli müşteri baskısı veya gelir kaybı endişesiyle etkisizleştiren organizasyon, kâğıt üzerindeki görev tanımına rağmen ciddi uyum riski yaratır. [7]

Dışarıdan hukuk, denetim veya teknik hizmet alınması mümkündür; ancak dış hizmet sözleşmesi, kanunen kuruluşta bulunması gereken fonksiyonu ve sorumluluğu kendiliğinden başka bir şirkete taşımaz. Hizmetin kapsamı, veri erişimi, alt yükleniciler, denetlenebilirlik, kesinti yönetimi ve sona ermede verilerin iadesi açıkça düzenlenmelidir. Hazır bir “MASAK prosedürü” satın alınması, fiilî işlemlerin denetlenmiş olduğu anlamına gelmez. [2]

Müşterinin tanınması: Kimlik tespiti hangi aşamada zorunludur?

Sürekli iş ilişkisi ve işlem tutarı ayrımı

Hesap açılması gibi sürekli iş ilişkisi kurulurken kimlik tespiti tutar gözetilmeksizin yapılır. MASAK’ın güncel rehberinde, sürekli iş ilişkisi dışında da işlem veya bağlantılı işlemlerin toplamı 15.000 TL ve üzerinde olduğunda ve aynı tutarı aşan kripto varlık transferlerinde kimlik tespiti açıklanır. Şüpheli işlem veya daha önce alınan kimlik bilgilerinin yeterliliğine ilişkin şüphe hâlinde parasal sınır aranmaz. Eski metinlerdeki 75.000 TL eşiği güncel uygulama olarak kullanılamaz. [7, 8]

Bu eşikler, kimliksiz hesabın belirli bir tutara kadar kullanılabileceği anlamına gelmez. Sürekli iş ilişkisinin kurulması zaten bağımsız bir kimlik tespiti sebebidir. Bir işlemde belgenin alınmış olması da sonraki bütün işlemlerin sınırsız biçimde onaylanmasını gerektirmez. İş ilişkisinin amacı, müşterinin ekonomik durumu, fon kaynağı, beklenen işlem hacmi ve risk profili güncel tutulmalıdır. [7, 8]

Gerçek kişide kimlik ve adresin; tüzel kişide şirket kaydı, temsil yetkisi ve işlemi gerçekleştiren kişinin yetkisinin doğrulanması gerekir. Şirket adına işlem yapan kişi ile şirketi nihai olarak kontrol eden gerçek kişi farklı olabilir. Gerçek faydalanıcı incelemesi, yalnız imza yetkilisinin adının sisteme yazılmasıyla tamamlanmaz. Ortaklık ve kontrol yapısının katmanlı olması hâlinde gerekli araştırma derinleştirilir. [7, 8]

Uzaktan kimlik tespiti ve yabancı müşteriler

Uzaktan müşteri edinimi, fotoğrafın mesajlaşma uygulamasıyla gönderilmesinden ibaret değildir. Uygulanabilir yöntem, belgenin doğrulanması, kişinin gerçekliğinin değerlendirilmesi, güvenlik kontrolleri ve sürecin kayıt altına alınması birlikte aranır. 2026’da Türk uyruklu olmayan gerçek kişilerin pasaportla uzaktan kimlik tespitine ilişkin imkân genişletilmiştir; bu değişiklik yabancı müşterinin kimlik ve risk kontrollerinden muaf olduğu anlamına gelmez. [2, 7, 13]

Kimlik tespiti yapılamaması veya iş ilişkisinin amacı hakkında yeterli bilgi edinilememesi hâlinde hesap açmama, işlem yapmama veya mevcut ilişkiyi sona erdirme hükümleri gündeme gelir. Buna karşılık müşteriden istenecek bilgi ve belge, yükümlülükle bağlantılı olmalıdır. Her yabancıyı, her yüksek tutarlı işlemi veya her kişisel cüzdanı otomatik suç göstergesi saymak risk temelli inceleme değildir. Belirli riskin gerekçesi ve uygulanan tedbirin ölçüsü kayda geçirilmelidir. [7, 8]

Kripto transferlerinde seyahat kuralı nasıl uygulanır?

Seyahat kuralı, kripto varlık transferine eşlik etmesi gereken gönderen ve alıcı bilgilerine ilişkin yükümlülüktür. Tedbirler Yönetmeliği m.24/A çerçevesinde 15.000 TL ve üzerindeki transferlerde gönderenin adı veya unvanı, cüzdan adresi ya da işlem referansı ve ilave tanımlayıcı bilgileri; alıcının adı veya unvanı ile cüzdan adresi ya da işlem referansı gibi alanlar düzenlenir. Tutarın altındaki işlemlerde de belirlenen temel bilgiler bulunur; bunlar bütünüyle bilgisiz transfer alanı değildir. [7, 8]

Bilgiyi ilk alan kuruluşun teyit yükümlülüğü, aracı ve alıcı kuruluşun eksik bilgiye karşı alacağı tedbirler ile transfer mesajının güvenli iletilmesi birbirinden ayrılır. Eksik mesajın tamamlatılması, risk değerlendirmesi ve gerektiğinde transferin reddi veya hizmet ilişkisinin değerlendirilmesi gerekir. Bir teknoloji sağlayıcısının mesajı iletmiş olması, kurumsal denetimi gereksiz kılmaz. [7, 8]

Kişinin kendi kontrolündeki cüzdanlarla veya yabancı hizmet sağlayıcılarla işlem yapılması da kendiliğinden yasak değildir. Ancak alıcı veya göndericiye ilişkin beyanlar, cüzdanın niteliği, karşı taraf bilgileri ve riskler ilgili kurallara göre değerlendirilir. Blokzincirde görünen bir adres, tek başına arkasındaki gerçek kişinin kimliğini ispatlamaz. Müşteri beyanı, hesap kayıtları ve teknik bulgular birlikte incelenmelidir. [7]

Seyahat kuralı kapsamında kişisel bilgilerin güvenli biçimde paylaşılması ile bu bilgilerin herkese açık blokzincire yazılması aynı işlem değildir. Teknik tasarım, gerekli bilgiyi doğru muhataba iletmeli; gereksiz kimlik verisinin açık veya kontrolsüz ortamlarda yayılmasına yol açmamalıdır. Yurt dışındaki mesajlaşma ya da uyum hizmeti kullanılıyorsa veri aktarımı ayrıca değerlendirilir. [7, 16, 18]

48 ve 72 saatlik bekleme ile stabil kripto varlık limitleri

MASAK Genel Tebliği Sıra No: 29’da, herhangi bir hizmet sağlayıcıda kayıtlı olmayan cüzdanlarla veya kendi mevzuatına göre gönderen–alıcı bilgilerini paylaşmakla yükümlü olmayan yabancı hizmet sağlayıcı ya da transfer yetkili finansal kuruluşlarla yapılan kapsamdaki çekimler için bekleme düzenlenir. Bu kripto varlık çekimlerinin alım, takas veya yatırma işleminden itibaren en az 48 saat sonra; ilk çekimin ise en az 72 saat sonra gerçekleştirilmesi esastır. Bu düzenleme, bütün nakit çekimlerinin veya platform içindeki bütün işlemlerin 72 saat durdurulması şeklinde anlatılamaz. İşlemin türü ve Tebliğdeki istisnalar ayrı incelenir. [7, 10]

Değeri bir resmî para birimine, kıymetli madene veya diğer varlıklara referansla sabit tutulmaya çalışılan stabil kripto varlıkların çekiminde genel sınır günlük 3.000, aylık 50.000 ABD doları karşılığıdır. Seyahat kuralı kapsamındaki gerekli bilgilerin karşı hizmet sağlayıcıyla paylaşılması gibi Tebliğ koşulları sağlandığında limitler iki kat uygulanabilir. İşlemi küçük parçalara ayırmak yükümlülükleri ortadan kaldırmaz; bağlantılı işlemler ve risk bütün olarak değerlendirilir. [7, 10]

Likidite sağlama, piyasa yapıcılığı ve piyasalar arası arbitraj gibi amaçlara ilişkin istisnalar, sadece müşterinin beyanına dayanılarak uygulanamaz. İlgili faaliyetin niteliği, transfer tutarı ve sıklığı, karşı taraf ve cüzdan bilgileri ile gerekli kontrollerin hangi belgelerle yapıldığı ortaya konulmalıdır. Her müşteri için ayrı yönetim kurulu onayı, kaynak ve hesap belgelerinin periyodik alınması, sürekli izleme ve kontrol gereklidir; işlemin istisna kapsamına girmediği anlaşılırsa limitler derhâl uygulanır. İstisna, herkese açılmış sınırsız bir transfer yolu değildir. [7, 10]

Platform ile saklama kuruluşu arasındaki sermaye piyasası mevzuatından kaynaklanan transferler ile saklayıcının müşteri adına yaptığı transferler de aynı değildir; ikinci grupta ilgili kısıtlamalar uygulanır. Tebliğ, transferlerde işlemin mahiyetini açıklayan en az yirmi karakterlik açıklama alınmasını da öngörür. Rastgele karakter, tekrar eden genel söz veya işlemle bağdaşmayan açıklama, yükümlülüğün amacını gerçekleştirmez. Açıklama ile hesap hareketi tutarlı olmalı; şüphe oluşmuşsa açıklama alınması şüpheli işlem bildirimini gereksiz kılmamalıdır. [7, 10]

Şüpheli işlem bildirimi nasıl yapılır, ne zaman bildirilir?

Şüpheli işlem; malvarlığının yasa dışı yollardan elde edildiğine veya yasa dışı amaçlarla kullanıldığına, terör eylemleri ya da terör örgütleriyle ilgili kullanıldığına ilişkin bilgi, şüphe veya şüpheyi gerektiren bir husus bulunması hâlinde gündeme gelir. Bildirim için mahkûmiyet, tamamlanmış suç veya belirli bir asgari tutar aranmaz. Teşebbüs aşamasındaki işlem de değerlendirilebilir. [7, 9]

Müşterinin ekonomik profiliyle bağdaşmayan hacim, açıklanamayan çok sayıda üçüncü kişi bağlantısı, fon kaynağının belgelendirilememesi, yaptırım listesi eşleşmesi veya olağan kullanım biçiminden belirgin sapma inceleme sebebi olabilir. Bununla birlikte tek bir gösterge müşteriyi suçlu hâle getirmez. Gerçek bilgi, risk göstergesi, müşterinin açıklaması ve inceleme sonucu birbirinden ayrılarak kaydedilmelidir. Örnek tipolojiler kapalı bir liste değildir. [7]

Şüphe oluştuğu tarihten itibaren en geç on iş günü içinde, gecikmesinde sakınca bulunan hâllerde derhâl bildirim yapılır. Bu süre, işlemin yapıldığı tarihle her zaman aynı gün başlamaz; şüphenin ne zaman oluştuğu kayıtlarla açıklanmalıdır. İç soruşturmayı tamamlamak veya bütün belgeleri elde etmek gerekçesiyle kanuni bildirim süresi aşılmamalı; sonradan edinilen önemli bilgiler ek bildirimle iletilmelidir. [7]

Bildirim, yetkili uyum görevlisi üzerinden MASAK’ın güncel elektronik bildirim sistemi ve rehberleri kullanılarak yapılır. Şüpheli işlem bildirimi, MASAK Online üzerinden yapılan kullanıcı başvurusu ve elektronik tebligat işlemleri farklı işlevlerdir. Yanlış portala dosya yüklenmesi veya yalnız destek birimine e-posta gönderilmesi, usulüne uygun bildirim olarak varsayılmamalıdır. [7, 11]

Bildirimin gizliliği

Şüpheli işlem bildirildiği, işleme taraf kişiler dâhil yetkisiz kimselere açıklanamaz. Kurum içindeki şüpheli işlem bildirimleri ve sisteme erişim bilgileri de korunmalıdır. Aynı finansal grupta bulunmak, bildirim yapıldığı bilgisinin sınırsız paylaşımına izin vermez. Kanuni denetim ve yargılama istisnaları kendi kapsamındadır. [7, 9]

Müşteriye bilgi verilirken bu gizlilik yükümlülüğü gözetilir; ancak her soruya yalnız “MASAK” cevabı verilerek bütün kurumsal açıklama ve şikâyet süreçleri etkisizleştirilmemelidir. Açıklanabilir hususlar, istenen belgeler, işlem durumu ve başvuru kanalı, hukuken mümkün olan kapsamda anlaşılır biçimde bildirilmelidir. Şüpheli işlem bildirimi yapılmış olması, tek başına kesin müsadere veya süresiz hesap dondurma kararı değildir. [1, 7, 9]

İşlem bekletme, erteleme, malvarlığı dondurma ve adli elkoyma

Bu kavramlar birbirinin yerine kullanıldığında yanlış başvuru merciine gidilmesi ve süre kaybı riski doğar. Bir hesabın kullanılamaması; olağan transfer bekleme süresinden, eksik kimlik bilgisinden, platformun güvenlik kontrolünden, MASAK kapsamındaki ertelemeden veya adli makamın kararından kaynaklanabilir. İlk inceleme, kısıtlamanın somut hukuki dayanağını ayırmalıdır. [7, 9, 10, 12, 19]

5549 m.19/A’daki en çok yedi iş günlük erteleme çerçevesi, müşterinin bütün itirazları için genel bir “yedi günlük başvuru süresi” değildir. 2025 sonunda getirilen CMK m.128/A ise maddede sayılan suçlardan elde edilen menfaatin bulunduğu hesap bakımından ilgili mali kuruluşa kırk sekiz saate kadar askıya alma imkânı tanır; askıya alma işleminin ve hesap hareketlerinin derhâl Cumhuriyet başsavcılığına bildirilmesini zorunlu tutar. Bu hüküm ile MASAK transfer bekleme kuralının ikisinde de “48 saat” bulunması, aynı işlem olduklarını göstermez. Hesap sahibine de bildirim yapılır; hesap sahibi kaldırma talebini Cumhuriyet başsavcılığına iletebilir ve savcı bu başvuru hakkında yirmi dört saat içinde karar verir. [9, 19]

23 Eylül 2026 tarihli MASAK Genel Tebliği Sıra No: 34, ilgili Birleşmiş Milletler Güvenlik Konseyi listeleme kararlarına konu kişi ve kuruluşlar yönünden işlemlerin ivedilikle bildirilmesi ve ertelenmesine yönelik tedbirleri düzenler. Kuruluşlar liste güncellemelerini zamanında işleyen kontrol kurmalı; aynı veya benzer isimli farklı kişilerin yanlış eşleştirilmesini de araştırmalıdır. Tebliğ, kendi kapsamındaki acil tedbirleri düzenler; bütün müşteri hesaplarını aynı nedenle kapatma yetkisi olarak okunamaz. [12]

CMK m.128/A kapsamında istenen bilgi ve belgelerin on gün içinde fiziki veya elektronik ortamda gönderilmesi zorunluluğu da ayrı izlenmelidir. Bu süre, MASAK şüpheli işlem bildirimindeki on iş günüyle karıştırılmamalıdır. Adli elkoymada hâkim onayı, süre ve sahibine iade hükümleri kendi koşullarıyla uygulanır. Kanuna uygun askıya alma için öngörülen sorumsuzluk hükmü, her keyfî veya süresiz hesap kısıtlamasına genişletilemez. [19]

Suç gelirleri ve terörizmin finansmanı riskleri nasıl değerlendirilir?

Aklama riskinde fonun suçtan kaynaklanması ve meşru görünüm kazandırılması; terörizmin finansmanında ise fonun kullanılacağı amaç önem kazanabilir. Hukuka uygun yolla elde edilmiş bir kaynağın da yasak amaçla tahsisi söz konusu olabilir. Bu nedenle uyum incelemesi yalnız paranın ilk kaynağına veya işlemin büyüklüğüne indirgenemez. [7, 9, 12]

Bağış, yardım, ticari satış, üye ödemesi veya başka bir açıklama, işlemi kendiliğinden meşru ya da şüpheli yapmaz. Gerçek amaç, taraflar, faydalanıcı, işlem örüntüsü ve mevcut bilgiler birlikte değerlendirilmelidir. Meşru sivil toplum faaliyeti ile yasak finansman aynı kategoriye alınamaz. İnceleme, kişilerin hukuken korunmuş faaliyetlerini peşinen suçlayan değil, somut riskleri açıklayan bir yöntem izlemelidir. [7]

Yüksek riskli müşteri veya işlemde fon ve servet kaynağına ilişkin ek bilgi, üst düzey onay ve sıklaştırılmış izleme gibi tedbirler uygulanabilir. Teknolojiyle oluşturulmuş bir risk puanı nihai hukuki değerlendirme değildir. Algoritmanın hangi olguya dayandığı, yanlış pozitif uyarıların nasıl ele alındığı ve yetkili kişinin karar gerekçesi gerektiğinde denetlenebilir olmalıdır. [7]

Müşteri nakdi ve kripto varlıkları nasıl korunmalıdır?

Varlıkların ayrılığı, saklama ve mutabakat

Müşteri nakdi ve kripto varlıkları kuruluşun kendi malvarlığından ayrıdır. Kayıtlar müşteri bazında izlenmeli; kuruluşun borçları ile müşterinin varlıkları birbirine karıştırılmamalıdır. Kanundaki haciz, rehin ve iflas masasına dâhil edilmeme koruması bu ayrılığa ilişkindir. Müşterinin kendi borcu veya kendi varlığına yönelik hukuka uygun adli karar bakımından mutlak dokunulmazlık yaratmaz. [1, 3]

Müşteri nakdinin banka hesaplarında ayrı tanımlanması, platformun kendi hesabıyla birleştirilmemesi ve amacı dışında kullanılmaması gerekir. Platform nakdi elden kabul edemez veya teslim edemez; para transferleri müşterinin kendi banka hesabı üzerinden yürütülür. Bir çalışanın şahsi IBAN’ına ödeme yönlendirilmesi ya da açıklanmayan başka şirkete para aktarılması, sıradan operasyon tercihi sayılamaz. [3]

III-35/B.2 m.41’in saklama modeli, müşterinin kendi cüzdanında tutmayı seçmediği kripto varlıkların asgari yüzde 95’inin saklama kuruluşunda tutulmasına; platform cüzdanlarında kalan kısım için yüzde 5 sınırına dayanır. Gün içi yüzde 10 sınırı, mutabakat, yüzde 3 likit rezerv ve küçük bakiyelerin hesabına ilişkin özel hükümler birlikte uygulanır. Bu oranların hangi varlık toplamına göre hesaplandığı ve geçiş kararlarının somut kuruluşa etkisi incelenmeden yalnız “yüzde 95 soğuk cüzdan” şeklinde özet yapılmamalıdır. [3, 5]

Saklama sözleşmesinde görev dağılımı, transfer onayı, cüzdan tanımları, mutabakat, olağan dışı transferler, hizmet kesintisi, varlık iadesi ve sona erme açık olmalıdır. Birden fazla saklayıcı kullanılması kayıtların birbirinden kopmasına yol açmamalıdır. Müşteriye gösterilen bakiyenin sistemde görünmesi, o varlığın gerçekten ve doğru miktarda saklandığını tek başına kanıtlamaz. [3]

Sigorta ve devlet güvencesi yanılgısı

SPK izni, yatırımın değerini koruma taahhüdü değildir. Kripto varlığın listelenmesi kamu güvencesi anlamına gelmez; Kanun m.35/C/6, ilgili saklama kapsamındaki varlık ve nakitleri mevduat ve katılım fonu sigortası rejiminden ayırır. MKK kaydı da zarar için sınırsız ödeme garantisi değildir. Özel sigorta mevcutsa sigortalı risk, lehtar, limit, muafiyet ve istisnalar ayrıca okunmalıdır. [1, 14]

Bilgi sistemleri, siber güvenlik ve bağımsız denetim

Kuruluşun bilgi sistemleri, anahtar yönetimi, erişim yetkileri, yedekleme, iş sürekliliği ve olay müdahalesi ilgili SPK düzenlemeleri ile TÜBİTAK altyapı kriterlerine uygun kurulmalıdır. Çok faktörlü doğrulama önemlidir; fakat tek başına bütün riskleri ortadan kaldırmaz. Yeni cihaz, olağan dışı IP, güvenlik ayarı değişikliği, çekim adresi eklenmesi ve yüksek riskli transferler bütün olarak izlenmelidir. [2, 3]

Özel anahtarın saklanması ile müşteri hesabına girişin korunması farklı güvenlik katmanlarıdır. Hesap şifresi korunurken yönetici erişiminin sınırsız olması veya çalışan ayrıldıktan sonra yetkilerinin açık kalması ciddi risk yaratabilir. Dış hizmet sağlayıcılarının erişimleri de aynı disiplinle sınırlandırılmalı; kayıtları ve denetim hakkı sözleşmeyle güvenceye alınmalıdır. [2]

III-35/B.1 m.48’de yıllık bilgi sistemleri denetimi, iç süreçler ve altyapı uygunluğu denetimi ile üçüncü, altıncı, dokuzuncu ve on ikinci ay sonları itibarıyla rezerv kanıtı denetimi ayrı yükümlülüklerdir. Bankalara ilişkin farklılaştırılmış hükümler ve Kurulun ilave denetim isteme yetkisi saklıdır. Bir denetimin yapılması diğer denetimlerin veya günlük mutabakatın yerine geçmez. [2]

Siber olayda öncelik zararın büyümesini engellemek, kayıtları korumak ve gerekli bildirimleri ayrı ayrı değerlendirmektir. Sistem günlüklerinin değiştirilmesi, eski kayıtların üzerine yazılması veya olayı açıklayan zaman çizelgesinin tutulmaması sonradan hem denetimi hem savunmayı zayıflatır. İş sürekliliği planının varlığı kadar test edilip edilmediği ve olay sırasında gerçekten uygulanıp uygulanmadığı da önemlidir. [2]

Kayıt saklama, bilgi verme ve MKK yükümlülükleri

5549 sayılı Kanun kapsamındaki belgeler, defter ve kayıtlar için sekiz yıllık muhafaza süresi; düzenleme, son kayıt ve son işlem gibi Kanunda belirtilen farklı başlangıçlarla hesaplanır. Kimlik tespiti belgeleri bakımından son işlem tarihi önemlidir. SPK düzenlemelerinde işlem ve müşteri kayıtları için öngörülen on yıllık saklama yükümlülükleri ayrıca dikkate alınır. Sekiz yıl dolması, bütün kripto hizmet kayıtlarının silinebileceği anlamına gelmez. [2, 7, 9]

Saklanması gerekenler yalnız ekran görüntüsü ve muhasebe toplamları değildir. Müşteri edinim kaydı, sözleşme sürümü, verilen onaylar, emir ve transfer zamanları, cüzdan adresleri, işlem kimlikleri, güvenlik kontrolleri, şikâyetler ve mutabakat kayıtları gerektiğinde birlikte sunulabilmelidir. Sözleşme metni sonradan değişmişse uyuşmazlık tarihindeki sürümün belirlenmesi özellikle önem taşır. [2, 3]

MASAK ve denetim elemanlarının hukuka uygun bilgi-belge talepleri, yetki ve kapsamı doğrulanarak süresinde yerine getirilir. Gizlilik veya kişisel veri gerekçesi, kanunen yetkili makama bilgi verilmesini kategorik biçimde engellemez; ancak talep dışındaki bütün müşteri verilerinin gelişigüzel aktarılmasını da haklı kılmaz. Talebin alınması, sorumlu kişiye yönlendirilmesi ve gönderimin doğrulanması kayıtlı olmalıdır. [7, 9, 16]

MKK’nın KVMKS sistemi, hizmet sağlayıcıların kaydi sistemlerinde tutulan işlem ve bakiyelerin kaydı ile platform–saklayıcı bakiyelerinin karşılaştırılmasına hizmet eder. 2026’da sisteme ilişkin uygulama ve duyurular devam etmiş; TCMB’nin ilgili kararına ilişkin MKK açıklaması 3 Ağustos 2026’da yayımlanmıştır. Üyelik, sicil, raporlama ve mutabakat, ilgili yönerge ve genel mektuplara göre yürütülmelidir. MKK’ya raporlama, kripto varlığın bizzat MKK’da saklandığı anlamına gelmez ve MASAK bildirimini ikame etmez. [14, 15, 24]

Kişisel veriler ve yurt dışı hizmet sağlayıcıları

Kimlik bilgileri, cüzdan adresleri ve işlem kayıtları belirli ya da belirlenebilir gerçek kişiyle ilişkilendirilebildiğinde kişisel veri niteliği taşıyabilir. Platformun kimlik tespiti yapması için hukuki yükümlülük bulunması, bu verileri reklam, profil çıkarma veya başka amaçlarla sınırsız kullanabileceği anlamına gelmez. Veri işleme amacı, hukuki sebep, aydınlatma, erişim yetkisi ve saklama süresi ayrı belirlenmelidir. [16]

Biyometrik doğrulama kullanılan sistemlerde özel nitelikli veri koşulları ayrıca incelenir. Her video veya fotoğraf otomatik olarak aynı hukuki kategoride değildir; kullanılan tekniğin kişiyi benzersiz biçimde tanımlama amacı ve işleyişi önemlidir. Müşteriden genel bir onay kutusu alınması, gerekli teknik ve hukuki değerlendirmelerin yerine geçmez. [16]

Yabancı bulut, destek, analiz veya seyahat kuralı hizmeti kullanıldığında yurt dışına aktarım mekanizması değerlendirilir. Standart sözleşme yöntemi kullanılıyorsa imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirim yükümlülüğü vardır. Bu mekanizmanın varlığı, SPK’nın bilgi sistemleri ve verilerin bulunduğu yerle ilgili özel şartlarını kaldırmaz. KVKK uygunluğu ile sektörel altyapı uygunluğu birlikte sağlanmalıdır. [2, 16, 18]

Kişisel veri ihlalinin öğrenilmesinden itibaren gecikmeksizin ve en geç yetmiş iki saat içinde KVKK Kuruluna bildirim; etkilenen kişilere de ilgili esaslar çerçevesinde bildirim gündeme gelir. Bu 72 saat, ilk kripto çekimindeki 72 saatlik bekleme kuralından tamamen farklıdır. Aynı siber olayın SPK, MASAK, KVKK ve adli makamlar bakımından ayrı bildirim sonuçları olabilir. [2, 7, 17]

Listeleme, müşteri sözleşmeleri, reklam ve çıkar çatışmaları

Listeleme ve müşteri ilişkisinin belgelenmesi

Platformun yazılı listeleme ve işlemden çıkarma prosedürü bulunmalıdır. Proje sahibinin açıklamaları, teknolojik riskler, hukuki nitelik, işlem hacmi, çıkar çatışmaları ve karar süreci değerlendirilir. Komite kararı veya platformda işlem görmeye başlama, varlığın güvenli veya kazançlı olduğunun garantisi değildir. Sonradan ortaya çıkan önemli riskler de listeleme sonrası gözetimin konusudur. [1, 3]

Müşteri çerçeve sözleşmesi; hizmet kapsamı, emir ve transfer usulü, ücret, saklama, riskler, iletişim, şikâyet ve sona erme şartlarını anlaşılır biçimde açıklamalıdır. Hangi metnin hangi tarihte onaylandığı ispatlanabilmelidir. Kanun m.35/C/1 uyarınca hizmet sağlayıcının müşteriye karşı sorumluluğunu kaldıran veya sınırlayan sözleşme şartları geçersizdir. “Bütün zarar müşteriye aittir” kaydı ile kanuni sorumluluk bertaraf edilemez. [1, 2]

Reklam, yönlendirme ve yasak işlemler

Getiri garantisi, gerçeğe aykırı lisans açıklaması, risksiz işlem izlenimi ve müşterinin bilgisizliğinden yararlanan yönlendirmeler hukuki risk doğurur. Mevduat veya katılım fonu toplama, yetkisiz müşteri tasarrufu ve kayıt dışı işlem gibi yasaklar ayrıca geçerlidir. Genel piyasa bilgisi, yönlendirici genel tavsiye ve kişiye özgü yatırım danışmanlığı birbirinden ayrılmalıdır. [2, 3]

Kampanyalar ve sosyal medya içerikleri yalnız kelimeleri bakımından değil, toplam etkisiyle incelenmelidir. Sponsorlu içerik, yönlendirme ücreti, çalışan işlemleri ve listeleme karşılığındaki ilişkiler çıkar çatışması değerlendirmesine dâhildir. “Yatırım tavsiyesi değildir” cümlesi, içeriğin gerçekte kişiye özgü tavsiye veya yanıltıcı tanıtım olması hâlinde tek başına koruma sağlamaz. [2, 3]

Bir platform izni, her türlü kaldıraçlı işlem, kredi, ödünç veya portföy yönetimini sunma yetkisi olarak kabul edilemez. Ürünün gerçek ekonomik yapısı ve ilgili yasak/izin hükümleri incelenmelidir. Kullanıcının yabancı bir uygulamada aynı ürüne erişebilmesi, Türkiye’de yerleşik müşteriye o hizmetin sunulmasını kendiliğinden hukuka uygun hâle getirmez. [1, 2, 3]

Yurt dışındaki platformlar ve kriptoyla ödeme yasağı

Yurt dışındaki bir lisans veya sicil kaydı Türkiye’deki izin gerekliliğinin yerine geçmez. Kanun m.99/A, Türkiye’de iş yeri açılması, Türkçe internet sitesi oluşturulması veya Türkiye’de yerleşik kişilere doğrudan ya da aracılarla tanıtım ve pazarlama yapılması gibi hâlleri Türkiye’ye yönelik faaliyet kapsamında değerlendirir. Türkiye bağlantısı, grubun merkez adresinden ibaret değildir. [1]

Yurt dışındaki taraflarla çalışılan sözleşmelerde uygulanacak hukuk, yetki, bildirim, kayıt erişimi, varlık iadesi ve kararın uygulanabilirliği önemlidir. Sözleşmeye yabancı hukuk yazılması, Türkiye’de uygulanması zorunlu izin ve müşteri koruma hükümlerini kendiliğinden dışlamaz. Yabancı platforma doğrudan aktarım veya yabancı saklama hizmeti bakımından hem sektörel hem veri aktarımı kuralları incelenmelidir. [1, 2, 3, 18]

TCMB’nin Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmeliği, kripto varlıkların ödemelerde doğrudan veya dolaylı kullanılmasını ve buna yönelik hizmet sunulmasını düzenler. Ödeme ve elektronik para kuruluşlarının kripto platformlarına veya platformlardan fon aktarımına aracılık etmesine ilişkin sınırlama da ayrıca bulunur. Kripto varlık alım satımı ile kripto varlığı ödeme aracı yapmak aynı faaliyet değildir. Platformun TL işlemleri için her ödeme kuruluşuyla entegrasyon yapabileceği varsayımı hatalıdır. [20]

İhlallerin idari ve cezai sonuçları nelerdir?

İzin, sermaye, organizasyon, müşteri varlıkları ve faaliyet kurallarına aykırılıkta SPK denetimi, idari para cezası, faaliyet sınırlaması veya durdurma ve şartları varsa yetkinin kaldırılması gündeme gelebilir. İnternet üzerinden izinsiz faaliyet veya yasak tanıtım bakımından içeriğin çıkarılması ve erişimin engellenmesi de değerlendirilir. Bir denetim yazısı, faaliyet izninin mutlaka iptal edileceği anlamına gelmez; bulgunun hukuki niteliği ve uygulanabilir yaptırım ayrı belirlenir. [1, 2]

Kanun m.109/A, izinsiz kripto varlık hizmet sağlayıcılığı için üç yıldan beş yıla kadar hapis ve beş bin günden on bin güne kadar adli para cezası öngörür. Müşteri varlıkları üzerindeki hukuka aykırı tasarruflar bakımından m.110/A’daki zimmet ve diğer suç hükümleri ayrıca gündeme gelebilir. Her sözleşme ihlali zimmet; her zarar da dolandırıcılık değildir. Fiil, yetki, kast ve malvarlığı hareketi somut olarak incelenir. [1]

MASAK yükümlülüklerinin ihlali 5549 sayılı Kanundaki idari veya adli yaptırımları doğurabilir. Müşterinin tanınması, şüpheli işlem bildirimi, uyum programı, bilgi verme ve muhafaza–ibraz farklı yükümlülüklerdir. 2026 para cezaları için yeniden değerlenen tutarlar, yükümlü grubuna ilişkin artırımlı uygulama ve işlem tutarıyla bağlantılı alt sınırlar dikkate alınmalıdır. Kanundaki ilk temel tutarı, bugün uygulanacak kesin ceza gibi göstermek doğru değildir. [7, 9, 23]

İhlal değerlendirmesinde işlem tarihi, o tarihteki kural, birbirinden bağımsız fiillerin sayısı, tebligat, yetkili makam, gerekçe, hesaplama ve ölçülülük araştırılır. İdari para cezası ile ceza soruşturması ve müşteri tazminatı farklı amaçlara hizmet eder; bir sürecin sonucu diğer bütün süreçleri kendiliğinden sona erdirmez.

Müşterinin zararı doğduğunda kim sorumludur?

Teslim borcu ve siber kayıplar

Kanun m.99/B/3, hukuka aykırı faaliyetler ile nakit ödeme veya kripto varlık teslim yükümlülüğünün yerine getirilememesinden doğan zararlar bakımından hizmet sağlayıcının sorumluluğunu düzenler. Müşterinin hangi varlığa, ne miktarda ve hangi sözleşme uyarınca hak kazandığı; talebinin ne zaman iletildiği ve neden yerine getirilmediği belirlenmelidir. Bir uygulama ekranında görünen TL karşılığı ile teslimi gereken kripto varlık adedi aynı talep değildir. [1]

m.99/B/4 ise bilişim sistemlerinin işletilmesi, siber saldırı, bilgi güvenliği ihlali veya personel davranışından kaynaklanan kripto varlık kayıplarında TBK m.71’e gönderme yapar. “Siber saldırıyı üçüncü kişi yaptı; kuruluşun hiç sorumluluğu yoktur” şeklinde genel bir savunma yeterli değildir. Zararın hangi sistem ve faaliyetle ilişkili olduğu, kanuni sorumluluk rejimi ve nedensellik bağı incelenir. [1, 21]

Bununla birlikte aynı fıkra, hizmet sağlayıcının kusuru olmaksızın yaşanan geçici hizmet kesintileri nedeniyle emir, işlem veya transfer yapılamaması ve benzeri durumlardaki zararları bu özel sorumluluk kapsamı dışında bırakır. Bu istisna, sürekli erişim kaybını, varlıkların ortadan kalkmasını veya kusurlu güvenlik yönetimini otomatik kapsamaz. Gerçekleşmeyen varsayımsal bir yüksek fiyatlı satıştan hareketle bütün kazanç kaybı taleplerinin kabul edileceği de söylenemez. [1]

Mensupların sorumluluğu ve müşterinin davranışı

Zararın hizmet sağlayıcıdan tazmin edilememesi veya edilemeyeceğinin açıkça belli olması hâlinde mensupların sorumluluğu, m.99/B ve m.110/B’deki koşullarla gündeme gelir. Her çalışan, ortak veya yönetici aynı gerekçeyle ve sınırsız biçimde sorumlu tutulamaz. Kişinin görevi, yetkisi, kusuru, zarara etkisi ve ilgili özel hükmün koşulları ayrı kurulmalıdır. [1]

Müşterinin şifre paylaşması, sahte siteye bilgi girmesi veya güvenlik uyarısını göz ardı etmesi nedensellik ve indirim tartışmasını etkileyebilir. Ancak işlemde OTP kullanılmış olması, gerçek hesap sahibinin geçerli talimat verdiğini her olayda kesin olarak ispatlamaz. Güvenlik ayarının kim tarafından değiştirildiği, yeni cihazın nasıl tanındığı ve riskli transferin hangi kontrolle onaylandığı da araştırılmalıdır. [21, 26, 27]

Yargı kararları güvenlik ve ispat bakımından ne gösteriyor?

İstanbul BAM 14. Hukuk Dairesi: Platformun delil ve güvenlik incelemesi

İstanbul Bölge Adliye Mahkemesi 14. Hukuk Dairesinin E.2022/244, K.2025/1603, 09.10.2025 tarihli kararı, müşterinin hesabından bilgisi dışında kripto varlık çekildiği iddiasıyla platforma yöneltilen tazminat talebine ilişkindir. Kararda şifre ve doğrulama kayıtları, hesap güvenliği tercihleri, bildirimin zamanı ve olayın teknik oluşumu tartışılmış; somut dosyada platforma kusur yüklenmesini gerektiren şartların ortaya konulamadığı değerlendirilerek ret hükmü korunmuştur. [26]

Kararın işaret ettiği esas, yalnız “hesabımdan transfer oldu” beyanıyla yetinilmemesidir. Kullanıcı hesabına erişim, güvenlik değişiklikleri ve çekim işleminin zamanları ayrı ayrı ortaya konulmalıdır. Bunun karşı yüzünde, kuruluşun da uyguladığı kontrolleri somut kayıtlarla açıklaması gerekir. Sadece standart sözleşmeyi sunmak, sistemin olay sırasında nasıl çalıştığını göstermez.

Kararın sınırı: Uyuşmazlığın olayları 7518 sayılı Kanunun yeni sorumluluk hükümlerinden öncedir. Kararı, 2024 sonrası bütün siber kayıplarda platformun yalnız kusur ispatlanırsa sorumlu olacağı şeklinde genellemek doğru değildir. Bugünkü olaylarda özellikle m.99/B/4 ayrıca incelenmelidir. BAM kararında temyiz yolu açık tutulmuştur; kararın sonrasındaki temyiz sonucu burada belirlenmiş değildir. Karar ülke çapında bağlayıcı bir içtihadı birleştirme kararı da değildir. [1, 26]

Yargıtay 3. Hukuk Dairesi: SIM kart sahteciliği, olay tarihindeki hukuk ve tazminat

Yargıtay 3. Hukuk Dairesinin E.2025/5307, K.2026/2209, 15.04.2026 tarihli kararı, 23–24 Haziran 2023 tarihli SIM kart değişikliği ve kripto varlık hesabından yapılan işlemler nedeniyle GSM işletmecisine yöneltilen maddi ve manevi tazminat talebine ilişkindir. İlk derece mahkemesi, bayideki SIM kart işlemi ve buna bağlı güvenlik eksikliği yönünden işletmecinin sorumluluğunu kabul etmiştir. Yargıtay, tazminata ilişkin esas sonucu değiştirmemiş; vekâlet ücreti bentlerini düzelterek hükmü düzeltilerek onamıştır. [27]

Kararın önemli tespiti, işletmecinin savunmasında ileri sürdüğü sonraki SPK hükümleri hakkında “ilgili maddelerinin olay tarihinde yürürlükte olmadığı” yönündedir. Böylece yeni düzenlemelerin geçmişteki bir olaya kendiliğinden uygulanamayacağı somut biçimde gösterilmiştir. Hükme esas alınan bilirkişi raporunun denetim ve hüküm kurmaya elverişli olduğu da belirtilmiştir. [27]

Kararda 7.990,71 USD maddi ve 25.000 TL manevi tazminata ilişkin esas sonuç korunurken, ayrıca talep edilen kripto varlık değer artışı yönünden ret sonucu değiştirilmemiştir. Bu tutarlar başka dosyalar için tarife değildir. Karar, kripto platformu aleyhine verilmiş bir tazminat hükmü olarak sunulamaz; davalı GSM işletmecisidir. [27]

Dosya hazırlığı bakımından telefon hattı değişikliği, e-posta erişimi, platform girişleri, güvenlik ayarları ve çekim işlemleri ayrı ayrı ortaya konulmalıdır. Kuruluşun “başka hizmet sağlayıcının güvenlik yükümlülüğü vardı” savunması, kendi fiilinin etkisini inceleme dışı bırakmaz. Her davalı için ihlal edilen yükümlülük, olay tarihindeki kural, nedensellik bağı ve zarar belirlenmelidir. [26, 27]

Müşteri hangi belgeleri toplamalı, nasıl başvurmalıdır?

İlk aşamada hesap ve işlem güvenliği sağlanmalı; yetkisiz erişim şüphesi platforma gecikmeden bildirilmelidir. Bildirim kanalı, gönderim zamanı ve verilen cevap saklanmalıdır. Hukuki yardım için dahi özel anahtar, kurtarma kelimeleri, hesap şifresi veya tek kullanımlık doğrulama kodu paylaşılmamalıdır. İnceleme için çoğu durumda işlem kimlikleri, adresler ve hesap kayıtları yeterli başlangıç verisini sağlar.

Dosyada sözleşmenin olay tarihindeki sürümü, kimlik tespiti ve hesap açılış bilgileri, bakiye ve işlem dökümleri, banka dekontları, cüzdan adresleri, işlem kimliği, kullanılan ağ, e-posta ve SMS bildirimleri, destek kayıtları ve önceki başvurular bulunmalıdır. Tarihlerin Türkiye saati mi başka saat dilimi mi olduğu açıklanmalı; ekran görüntüsü yanında mümkünse orijinal dijital kayıt korunmalıdır. [2, 3, 22]

Platformdan hesabın, güvenlik ayarlarının ve ilgili kayıtların korunması istenebilir. Kayıt kaybı riski varsa HMK m.400 ve devamı kapsamında delil tespiti; uygun talep ve şartlar varsa ihtiyati tedbir veya ihtiyati haciz değerlendirilir. Bir cüzdan adresini bilmek, mahkeme kararının teknik olarak doğrudan blokzincirde uygulanabildiği anlamına gelmez. Varlığı fiilen kontrol eden kişi veya hizmet sağlayıcının belirlenmesi önemlidir. [1, 22]

SPK şikâyeti denetim yönünü, MASAK’a iletilen bilgi mali suç riskini, suç duyurusu ceza soruşturmasını, özel hukuk talebi ise iade ve tazminatı ilgilendirir. Bunların hepsi aynı dilekçeyle ve aynı merci tarafından sonuçlandırılmaz. Müşteri, kendi zararının giderimi için gerekli dava yolunu ayrıca takip etmelidir. Kuruma şikâyet veya karşı tarafla görüşme, bütün dava sürelerini kendiliğinden durdurmaz. [1, 9, 21, 22]

Görevli mahkeme; tarafların sıfatı, sözleşmenin niteliği, işlemin amacı ve talep edilen hukuki koruma değerlendirilerek belirlenir. Platform, saklama kuruluşu, banka veya GSM işletmecisine yöneltilen farklı taleplerin görev rejimi aynı olmayabilir. Sırf bir tarafın gerçek kişi olması nedeniyle her dava tüketici mahkemesinde; sırf kripto varlıkla ilgili olması nedeniyle her dava ticaret mahkemesinde görülür denilemez. Dava şartı arabuluculuk da belirlenen uyuşmazlık türüne göre incelenir. [22, 26, 27, 28]

Sözleşmesel taleplerde özel süre yoksa TBK m.146’daki on yıllık süre; haksız fiilde m.72’deki öğrenmeden itibaren iki ve fiilden itibaren on yıllık süre ile daha uzun ceza zamanaşımı istisnası gündeme gelebilir. Başlangıç, öğrenme, kesilme ve talebin gerçek niteliği ayrıca hesaplanır. Adli yargıda bilirkişi raporuna HMK m.281 uyarınca kural olarak tebliğden itibaren iki hafta içinde somut itiraz edilir. İdari ve cezai kararlarda ise kararın türüne özgü başvuru yolu ve süre izlenir. [21, 22]

Kuruluşlar için uygulanabilir yükümlülük ve belge matrisi

Aşağıdaki tablo kanuni yükümlülüklerin işletme içinde hangi kayıtlarla izlenebileceğini gösteren bir çalışma aracıdır. Denetim yapılmış olduğunu veya bütün kuruluşlar için aynı organizasyonun yeterli olacağını ifade etmez.

Yönetim düzeyinde ilk değerlendirme, “hangi belge eksik?” sorusuyla sınırlı olmamalıdır. Müşteri kabulünden varlık iadesine kadar örnek bir işlemin bütün kayıtları izlenebiliyor mu; yüksek risk uyarısı kime gidiyor; acil durumda işlemi kim durdurabiliyor; müşterinin şikâyeti kim tarafından ve hangi kayıtla sonuçlandırılıyor? Bu soruların cevapları, prosedürün gerçekten uygulanıp uygulanmadığını gösterir. [2, 3, 7]

Sonuç

Kripto varlık hizmet sağlayıcısının hukuki uyumu; izin, mali yeterlilik, müşteri tanıma, transfer güvenliği, saklama, kayıt, veri koruma ve zarar sorumluluğunun birlikte kurulmasını gerektirir. Eski parasal eşikleri kullanmak, geçiş listesini lisans saymak veya bütün hesap kısıtlamalarını “MASAK blokesi” adı altında toplamak hem kuruluş hem müşteri bakımından hak kaybı yaratabilir.

Kuruluş açısından belirleyici olan, yükümlülüğün yalnız yazılı politika olarak değil, işlem ve denetim kayıtlarıyla gösterilebilmesidir. Müşteri açısından ise doğru muhatap, olay tarihindeki hukuk, güvenlik olayının teknik akışı ve başvuru süreleri birlikte belirlenmelidir. Sağlam hukuki değerlendirme, bir etikete veya tek ekran görüntüsüne değil; doğru hukuki nitelendirmeye ve doğrulanabilir kayıtlara dayanır.

İlgili yazılar: Kripto Varlıklar Miras Kalır mı? Borsa Hesabı, Bitcoin ve Soğuk Cüzdanın İntikali yazısı, kripto varlıkların ölüm hâlinde mirasçılara geçişini, borsa hesabı ile soğuk cüzdan ayrımını ve erişim bilgilerinin hukuki sonuçlarını ayrıca ele alır.

Sıkça Sorulan Sorular

SPK listesinde olan her platform lisanslı mıdır?

Hayır. Faaliyette Bulunanlar Listesi, faaliyet izni veya yetki belgesiyle aynı değildir. İlgili kuruluşun güncel izin kararı, kapsamı ve varsa kısıtlamaları ayrıca incelenir. [6, 25]

2026’da kripto platformu için asgari sermaye ne kadardır?

2026 için platformlarda 250 milyon TL, kripto varlık saklama kuruluşlarında 630 milyon TL tutarı belirlenmiştir. Bankaların özel rejimi ile faaliyet sırasında korunacak özsermaye ve rezerv yükümlülükleri ayrıca değerlendirilir. [3, 4]

Hesap açarken küçük tutar yatıracağım; kimlik tespiti zorunlu mu?

Evet. Sürekli iş ilişkisi kurulurken tutar gözetilmez. Transfer ve diğer işlemlere ilişkin parasal eşikler bu bağımsız yükümlülüğü kaldırmaz. [7, 8]

75.000 TL kimlik tespiti sınırı hâlâ geçerli mi?

Eski metindeki bu eşik güncel rehberle uyumlu değildir. Kripto varlık hizmet sağlayıcılara özgü rehber, sürekli iş ilişkisi dışındaki işlem ve kripto transferleri bakımından 15.000 TL ve üzerini esas alır. Hesap açılışında ve şüpheli durumda ise tutar sınırı aranmaz. [7]

İlk kripto çekiminde neden 72 saat beklenir?

MASAK Tebliği No: 29’daki güvenlik ve uyum tedbiri nedeniyle, kapsamdaki ilk kripto çekiminde en az 72 saat; ilgili diğer çekimlerde en az 48 saat kuralı uygulanır. İşlem türü ve istisnalar ayrıca değerlendirilir. [7, 10]

Günlük 3.000 dolar limiti bütün kripto işlemleri için mi geçerlidir?

Hayır. Düzenleme, ilgili stabil kripto varlık çekimlerine yöneliktir. Aylık sınır, bilgi paylaşımıyla iki kat uygulama ve belgeli istisnalar birlikte incelenmelidir. [7, 10]

Kendi cüzdanıma transfer yapmam yasak mı?

Kişisel cüzdana transfer sırf bu nedenle yasak değildir. Kimlik, karşı taraf bilgileri, risk kontrolü, bekleme ve uygulanabilir limit koşulları devam eder. [3, 7]

Şüpheli işlem bildirimi müşteriye söylenir mi?

Hayır. Bildirim yapıldığı bilgisi, kanuni istisnalar dışında işleme taraf olanlar dâhil yetkisiz kişilere açıklanamaz. Açıklanabilir işlem bilgileri ile bildirim gizliliği ayrı yönetilir. [7, 9]

Şüpheli işlem bildirimi için suçun kanıtlanması gerekir mi?

Hayır. Bilgi, şüphe veya şüpheyi gerektiren husus yeterli olabilir. Bildirim, müşterinin suçlu olduğuna ilişkin mahkeme kararı değildir. [7, 9]

Her hesap kısıtlamasına aynı mahkemede itiraz edilir mi?

Hayır. Platform kontrolü, MASAK ertelemesi, malvarlığı dondurma, CMK kapsamında askıya alma ve adli elkoyma farklı işlemlerdir. Doğru yol, somut dayanak ve karar üzerinden belirlenir. [9, 12, 19]

Müşteri varlıkları platformun borcu için haczedilebilir mi?

Kanundaki ayrılık koruması gereğince platformun borcu nedeniyle müşterinin varlıklarına gidilemez. Ancak müşterinin kendi borcu veya kendi varlığına yönelik hukuka uygun adli işlem ayrı konudur. [1]

MKK kaydı yatırımın devlet güvencesinde olduğu anlamına gelir mi?

Hayır. KVMKS kayıt ve mutabakat altyapısıdır. MKK kaydı, kripto varlığın fiyatı veya her zarar için ödeme garantisi oluşturmaz. [1, 14]

Platform saldırıya uğrarsa mutlaka sorumluluktan kurtulur mu?

Hayır. Kanun m.99/B/4’ün TBK m.71’e yaptığı gönderme ve somut olayın özellikleri incelenir. Kusursuz geçici kesinti istisnası, bütün siber kayıplara uygulanabilecek genel sorumsuzluk değildir. [1, 21]

OTP ile onaylanan her işlem gerçek müşteri talimatı sayılır mı?

Tek başına kesin sonuç çıkarılamaz. Telefon, e-posta, cihaz ve güvenlik ayarlarının kim tarafından kontrol edildiği ile işlemin teknik akışı araştırılır. [26, 27]

Kayıtların saklama süresi sekiz yıl mı, on yıl mı?

MASAK kapsamındaki sekiz yıllık muhafaza ile SPK kapsamındaki on yıllık kayıt yükümlülükleri, belge türü ve başlangıç olayıyla birlikte uygulanır. Daha kısa süre esas alınarak bütün kayıtlar silinemez. [2, 7, 9]

Yabancı bir lisans Türkiye’de faaliyet için yeterli midir?

Hayır. Türkiye’ye yönelik hizmet ve pazarlamada Türk hukukundaki izin ve faaliyet koşulları ayrıca uygulanır. [1]

SPK’ya şikâyet edersem param otomatik iade edilir mi?

Hayır. Denetim başvurusu ile iade veya tazminat talebi farklıdır. Talep, doğru muhataba ve gerekli hâlde görevli mahkemeye yöneltilmeli; süreler ayrıca takip edilmelidir. [1, 21, 22]

Hukuki inceleme için özel anahtarımı paylaşmalı mıyım?

Hayır. Özel anahtar, kurtarma kelimeleri, hesap şifresi ve doğrulama kodu paylaşılmamalıdır. Olay kronolojisi, işlem kimlikleri, adresler ve hesap kayıtlarıyla güvenli biçimde incelemeye başlanabilir.

Kaynakça

1. 6362 sayılı Sermaye Piyasası Kanunu. Özellikle m.3, 35/B, 35/C, 99/A, 99/B, 109/A, 110/A–B ve 130/5. SPK mevzuat metni.
2. SPK, III-35/B.1 sayılı Tebliğ. Kripto Varlık Hizmet Sağlayıcıların Kuruluş ve Faaliyet Esasları Hakkında Tebliğ; RG 13.03.2025/32840.
3. SPK, III-35/B.2 sayılı Tebliğ. Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ; RG 13.03.2025/32840.
4. SPK, 2025/68 sayılı Bülten. 31.12.2025; 2026 yılı parasal tutarları, III-35/B.2 için tablo.
5. SPK, 26.03.2026 tarihli 18/617 sayılı karar duyurusu. 2026/18 sayılı Bülten, s.6, E/1. SPK bülteninin PRM Finans üzerinde erişilebilen nüshası.
6. SPK, Faaliyette Bulunanlar Listesi. Geçiş listesinin yetkilendirme anlamına gelmediğine ilişkin açıklama ve güncel kuruluş kayıtları.
7. MASAK, Kripto Varlık Hizmet Sağlayıcılar İçin Yükümlülüklere Uyum Rehberi. Eylül 2025; kimlik tespiti, seyahat kuralı, transfer kontrolleri, bildirim ve muhafaza. Sonraki değişiklikler ayrıca değerlendirilmiştir.
8. Suç Gelirlerinin Aklanmasının ve Terörün Finansmanının Önlenmesine Dair Tedbirler Hakkında Yönetmelik. Özellikle m.4–26/A; kimlik tespiti, gerçek faydalanıcı, transfer bilgileri ve sıkılaştırılmış tedbirler.
9. 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun. Özellikle m.3–8, 13–14 ve 19/A.
10. MASAK Genel Tebliği Sıra No: 29. RG 28.06.2025; transfer bekleme süreleri, stabil kripto varlık limitleri ve açıklama yükümlülüğü. MASAK Rehberi s.17–18 ile birlikte.
11. MASAK Online Başvuru Kılavuzu. Mart 2025; kullanıcı başvurusu ile şüpheli işlem bildirim sistemi ayrımı.
12. MASAK Genel Tebliği Sıra No: 34. RG 23.09.2026/33379. Birleşmiş Milletler yaptırım listeleri, bildirim ve erteleme; Legalbank üzerindeki mevzuat aktarımı.
13. MASAK, Pasaportla Uzaktan Kimlik Tespitine İlişkin Duyuru. 29.06.2026. 32 sıra numaralı değişiklik tebliği, RG 27.06.2026/33293.
14. MKK, Kripto Varlık Merkezi Kayıt Sistemi. Sistemin kayıt, karşılaştırma ve mutabakat işlevi.
15. MKK, KVMKS’nin TCMB Tarafından Onaylanmasına İlişkin Açıklama. 03.08.2026 tarihli kurumsal açıklama.
16. 6698 sayılı Kişisel Verilerin Korunması Kanunu. Özellikle m.4–6, 9–12; amaçla sınırlılık, hukuki sebep, aktarım ve güvenlik.
17. KVKK, Kişisel Veri İhlali Bildirim Usul ve Esasları. 24.01.2019 tarihli 2019/10 sayılı karara ilişkin duyuru.
18. KVKK, Yurt Dışına Aktarımda Standart Sözleşmeler Hakkında Kamuoyu Duyurusu. Standart sözleşmenin imzalanması ve beş iş günlük bildirim süresi.
19. 7571 sayılı Kanun, m.22 ile eklenen CMK m.128/A. TBMM kabul metni; hesabın askıya alınması, adli elkoyma, bildirim ve bilgi verme.
20. TCMB, Ödemelerde Kripto Varlıkların Kullanılmamasına Dair Yönetmelik. RG 16.04.2021/31456; m.3–4.
21. 6098 sayılı Türk Borçlar Kanunu. Özellikle m.49–52, 71–72, 112 ve 146–149.
22. 6100 sayılı Hukuk Muhakemeleri Kanunu. Özellikle m.190, 219–220, 266, 281–282, 389 ve 400 ve devamı.
23. MASAK, Yükümlülükler ve Yaptırımlar. 5549 sayılı Kanun kapsamındaki yükümlülük grupları ve idari/adli yaptırım çerçevesi; Rehberin yaptırımlar bölümü.
24. MKK, KVMKS 2026 Yılı Ücret Tarifesi. 20.01.2026 tarihli genel mektup; yükümlülüklerin mali planlanması.
25. SPK, Kripto Varlık Hizmet Sağlayıcılar. Yetkilendirme, geçiş kayıtları ve başvuruya ilişkin resmî sayfa.
26. İstanbul BAM 14. Hukuk Dairesi, E.2022/244, K.2025/1603, 09.10.2025. Platform güvenliği, kullanıcı hesabı ve tazminat. İstinaf başvurusunun esastan reddi; temyiz yolu açık. De Jure tam karar kaydı.
27. Yargıtay 3. Hukuk Dairesi, E.2025/5307, K.2026/2209, 15.04.2026. SIM kart işlemi ve kripto varlık zararı; GSM işletmecisi. Vekâlet ücreti bentleri yönünden düzeltilerek onama. De Jure tam karar kaydı.
28. 6502 sayılı Tüketicinin Korunması Hakkında Kanun. Özellikle m.3, 73 ve 73/A; sözleşme ve taraf sıfatına göre görev ve dava şartı değerlendirmesi.