Kısa cevap: Kripto cüzdan, kripto varlıkların transferini sağlayan özel ve açık anahtarları saklayan yazılım, donanım veya sistemdir; varlık kayıtları ağın ortak defterinde durur, cüzdan bu kayıtları harcama yetkisini taşır. İnternete bağlı cüzdana sıcak, anahtarları internetten izole tutan cüzdana soğuk cüzdan denir. Anahtar kullanıcıdaysa cüzdan saklamasız, bir platform veya saklama kuruluşundaysa saklamalıdır.
Bir kripto varlık platformunda bakiye görmek ile o varlığın özel anahtarını elde tutmak aynı şey değildir. Platform hesabında anahtarlar kurumdadır; kişisel bir cüzdanda ise anahtarı kaybeden varlığa erişimi de kaybeder, anahtarı ele geçiren varlığı başka bir adrese gönderebilir. Cüzdan seçimi bu nedenle bir uygulama tercihinden çok, riskin kimde duracağına ilişkin bir karardır.
Bu yazıda cüzdan türleri, kurtarma ifadesi standartları ve Ekim 2026 itibarıyla Türkiye'deki platform saklama kuralları resmi kaynaklara dayanarak anlatılıyor; belirli bir cüzdan, cihaz veya platform önerisi içermez.
Kripto cüzdan nedir? Özel anahtar, açık anahtar ve adres
6362 sayılı Sermaye Piyasası Kanunu'nun 3. maddesine 7518 sayılı Kanun'la eklenen (aa) bendi cüzdanı, kripto varlıkların transfer edilebilmesini ve bu varlıkların ya da bunlara ilişkin özel ve açık anahtarların çevrim içi veya çevrim dışı olarak depolanmasını sağlayan yazılım, donanım, sistem ya da uygulamalar olarak tanımlar. Bitcoin geliştirici dokümantasyonu da cüzdanı özünde bir özel anahtarlar topluluğu olarak tarif eder.
- Özel anahtar
- III-35/B.2 sayılı Tebliğ'e göre cüzdanlardan transfer hakkı sağlayan gizli anahtardır. Transferi imzalamak için kullanılır; bilen herkes varlığı harcayabilir.
- Açık anahtar
- Özel anahtardan matematiksel olarak türetilir; açık anahtardan özel anahtara geri gitmek pratikte mümkün değildir. Tebliğ açık anahtarı, bir cüzdandan diğerine kripto varlık gönderilebilmesi için cüzdanı eşsiz biçimde adresleyen anahtar olarak tanımlar.
- Adres
- Çoğu ağda açık anahtarın özetinden (hash) üretilen ve ödeme almak için paylaşılan gösterimdir. Adres paylaşmak varlığı riske atmaz; özel anahtarı veya kurtarma ifadesini paylaşmak ise varlığın kontrolünü devretmek demektir.
Transferin geçerliliği dijital imzaya dayanır. Bitcoin'i tanımlayan 2008 tarihli makalede elektronik para, her sahibin bir önceki işlemin özetini ve sonraki sahibin açık anahtarını imzalayarak devrettiği bir dijital imza zinciri olarak tanımlanır. Ağ, imzanın doğru özel anahtarla atılıp atılmadığını kontrol eder; imzayı kimin attığını sormaz. Anahtarın kontrolü bu yüzden varlığın kontrolüyle eş anlamlıdır. Ağın genel işleyişi Bitcoin nedir yazısında anlatılıyor.
Saklamalı ve saklamasız cüzdan farkı nedir?
Cüzdanlar önce anahtarı kimin tuttuğuna göre ayrılır. Saklamalı (custodial) yapıda özel anahtarlar bir platformda veya saklama kuruluşunda durur; kullanıcı hesabına giriş yapar, transfer talebini kurum imzalar. Saklamasız (non-custodial) yapıda anahtarlar kullanıcının cihazında üretilir ve yalnızca onda bulunur.
| Ölçüt | Saklamalı cüzdan | Saklamasız cüzdan |
|---|---|---|
| Özel anahtarı kim tutar? | Platform veya saklama kuruluşu | Kullanıcı |
| Erişim kaybı | Kimlik doğrulamayla hesaba yeniden erişilebilir | Kurtarma ifadesi yoksa erişimi geri getirecek bir merci yoktur |
| Başlıca risk | Kurumun iflası, siber saldırı, hesabın ele geçirilmesi, işlem kısıtları | Kullanıcı hatası, cihaz kaybı, kimlik avı, yanlış adrese transfer |
| Türkiye'deki çerçeve | SPK izni, varlıkların ayrılığı, saklama limitleri | Kurumsal saklama kuralları uygulanmaz |
6362 sayılı Kanun'un 35/C maddesinin altıncı fıkrasına göre platform müşterilerine ait kripto varlıkların müşterilerin kendi cüzdanlarında bulundurulması esastır. Müşteri bunu tercih etmezse saklama hizmetini SPK'nın yetkilendirdiği ve BDDK'nın uygun gördüğü bankalar ya da SPK'nın yetkilendirdiği diğer saklama kuruluşları sunar. III-35/B.2 sayılı Tebliğ'in 24. maddesi ise özel anahtarın bütün kontrolünün yatırımcıya bırakıldığı cüzdan hizmetlerini saklama hizmeti saymaz. Anahtarı kullanıcıda kalan bir cüzdan uygulaması bu nedenle kurumsal saklama güvencelerinin dışındadır; anahtarın güvenliği tamamen kullanıcıya aittir.
İki modelin ortak noktası, zincir üzerindeki transferin geri alınamamasıdır. Bitcoin projesinin kullanıcı bilgilendirmesine göre bir transfer geri çevrilemez; ancak alıcı isterse iade edebilir.
Sıcak cüzdan ve soğuk cüzdan farkı
III-35/B.2 sayılı Tebliğ iki terimi hizmet sağlayıcılar için tanımlar; tanımların özü bireysel cüzdanlara da uyar. Sıcak cüzdan internete bağlı olan ve soğuk cüzdan özelliği göstermeyen cüzdan teknolojisidir. Soğuk cüzdanda anahtarlar fiziksel, idari ve teknik güvenlik kontrolleriyle korunur; işlem onaylama ve imzalama gibi kritik adımlar fiziki veya teknik hava boşluklarıyla internetten izole edilmiş ortamlarda yapılır.
Ayrımın ölçütü, özel anahtarın internete açık bir ortamda bulunup bulunmadığıdır. Bitcoin geliştirici dokümantasyonuna göre tam hizmet veren cüzdanların temel dezavantajı özel anahtarları internete bağlı bir cihazda tutmalarıdır; çevrim dışı ve donanım cüzdanlarında güvenlik artarken kullanım zahmeti de artar.
| Cüzdan türü | Anahtar nerede? | Sınıf | Öne çıkan risk |
|---|---|---|---|
| Platform hesabı | Kurumun sistemlerinde | Saklamalı; kurum sıcak ve soğuk cüzdanları birlikte kullanır | Kurum ve hesap güvenliği |
| Mobil veya masaüstü uygulama | Kullanıcının internete bağlı cihazında | Saklamasız, sıcak | Zararlı yazılım, sahte uygulama, cihaz kaybı |
| Tarayıcı eklentisi | Tarayıcı profilinde | Saklamasız, sıcak | Kimlik avı siteleri, aldatıcı imza talepleri |
| Donanım cüzdan | Ayrı bir imza cihazında | Saklamasız, soğuk | Kurcalanmış cihaz, kurtarma ifadesinin açığa çıkması |
| Çevrim dışı bilgisayar veya kâğıt yedek | İnternete hiç bağlanmayan ortamda | Saklamasız, soğuk | Fiziksel kayıp, hasar, kullanım hatası |
Donanım cüzdan nasıl çalışır?
Donanım cüzdan, özel anahtarı üreten ve saklayan, transferi kendi içinde imzalayan ayrı bir cihazdır. Bilgisayar veya telefondaki uygulama bakiyeyi gösterir ve imzasız işlemi hazırlar; cihaz işlemi imzalar ve yalnızca imzalı işlemi geri verir. Özel anahtar internete bağlı cihaza geçmediği için o cihazdaki bir zararlı yazılım anahtarı kopyalayamaz. Geliştirici dokümantasyonuna göre bu yapı tam hizmet veren cüzdanlardan çok daha iyi güvenlik, çevrim dışı cüzdanlardan daha az zahmet sunabilir.
Koruma, cihaz ekranındaki bilgilerin kontrol edilmesine bağlıdır. Bilgisayardaki zararlı bir yazılım ekrandaki alıcı adresini değiştirse bile cihaz ekranında imzalanacak gerçek adres görünür; bu adres tam olarak karşılaştırılmadan onay verilmez. Diğer pratik noktalar:
- Cihaz üreticinin resmi satış kanallarından alınır; ikinci el ya da kurtarma ifadesi önceden yazılmış olarak gelen cihaz kullanılmaz.
- Kurtarma ifadesi ilk kurulumda cihazın kendisi tarafından üretilir. Kutudan basılı bir ifade çıkması, ifadenin başkası tarafından da biliniyor olabileceğinin işaretidir.
- Yazılım güncellemeleri yalnızca üreticinin resmi uygulamasından yapılır; e-posta veya mesajla gelen güncelleme bağlantıları kimlik avında sık kullanılır.
- Cihaz kaybolsa veya bozulsa da varlıklar zincir üzerinde kayıtlıdır; kurtarma ifadesiyle uyumlu başka bir cihaza veya yazılıma geri yüklenir. Cihaz PIN'i yalnızca cihazı korur, yedeğin yerini tutmaz.
Kurtarma ifadesi nedir, nasıl korunur?
Kurtarma ifadesi (seed phrase), cüzdandaki bütün anahtarların türetildiği kök değerin (seed) üretildiği kelime dizisidir. BIP-32 standardı, tek bir kök değerden bir anahtar ağacı türeten hiyerarşik deterministik (HD) cüzdanları tanımlar. Geliştirici dokümantasyonuna göre bu kök değer, bir cüzdan programının belirli ayarlarla ürettiği tüm anahtarları yeniden türetmek için yedeklenmesi gereken tek veridir. BIP-39 standardı ise bu kelime dizisinin nasıl oluşturulacağını ve kök değere nasıl dönüştürüleceğini düzenler:
- Başlangıç entropisi 128 ile 256 bit arasındadır; bu 12, 15, 18, 21 veya 24 kelimeye karşılık gelir.
- Kelimeler 2.048 kelimelik bir listeden seçilir ve her kelime 11 bit taşır. Son kelime, yazım hatalarının çoğunu yakalayan bir sağlama (checksum) parçası içerir.
- İsteğe bağlı bir parola (passphrase) eklenebilir. Her parola geçerli ama farklı bir cüzdan üretir; parola unutulursa doğru cüzdana ulaşılamaz.
- Standarda göre BIP-39 cüzdanlarının büyük çoğunluğu yalnızca İngilizce kelime listesini destekler.
Varsayımsal örnek: 12 kelimelik bir kurtarma ifadesi 128 bit entropiye dayanır; olası değer sayısı 2128, yani yaklaşık 3,4 × 1038'dir ve tahminle bulunması pratikte imkânsızdır. İlk 11 kelimeyi ele geçiren biri için durum değişir: 11 kelime 121 bit taşıdığından son kelimede yalnızca 7 bitlik belirsizlik kalır ve sağlama kuralına uyan 27 = 128 adayı denemek yeterlidir; eksik kelime ortada olsa bile 2.048 aday denenerek bulunur. 24 kelimelik bir ifadenin ilk 23 kelimesi bilindiğinde aday sayısı 8'e iner. Örnek, ifadeyi parçalara bölüp farklı yerlere yazmanın güvenliği sanıldığı kadar artırmadığını gösterir: parçaların çoğunu bulan kişi gerisini kolayca tamamlar.
Kurtarma ifadesinin korunmasında genel ilkeler şunlardır:
- İfade kâğıda veya metal bir plakaya elle yazılır; fotoğrafı çekilmez, bulut depolamaya, e-postaya veya not uygulamasına kaydedilmez.
- İfade hiçbir internet sitesine, forma veya destek sohbetine girilmez. Cüzdan yazılımı ifadeyi yalnızca kullanıcının kendi başlattığı geri yükleme sırasında ister.
- Yangın ve su gibi fiziksel risklere karşı birden fazla güvenli yerde kopya tutulabilir; her kopya aynı özenle korunur.
- Geliştirici dokümantasyonuna göre HD cüzdan programlarının tam uyumlu olması beklenmez; geri yükleme için kullanılan program ve ayarlar not edilir.
- Genişletilmiş açık anahtar (xpub) harcama yetkisi vermez, ancak paylaşıldığında bağlı tüm adreslerin işlem geçmişini gösterir. BIP-32'ye göre genişletilmiş açık anahtar ile ondan türeyen sertleştirilmemiş herhangi bir özel anahtarın birlikte bilinmesi, üst düzey özel anahtarın bilinmesine eşdeğerdir.
Türkiye'de platformlardaki kripto varlıklar nasıl saklanır?
Kripto varlıklar Türkiye'deki bir platformda tutulduğunda cüzdan saklamalıdır. Ekim 2026 itibarıyla 6362 sayılı Kanun ile 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete'de yayımlanan III-35/B.2 sayılı Tebliğ'in saklama kuralları uygulanır:
| Kural | Dayanak |
|---|---|
| Müşteri nakdi ve kripto varlıkları kuruluşun malvarlığından ayrıdır; kuruluşun borçları için haczedilemez, rehnedilemez, iflas masasına dahil edilemez. | 6362 sayılı Kanun md. 35/C/7 |
| Müşterinin kendi cüzdanında tutmadığı kripto varlıkların en az %95'inin saklama kuruluşunda tutulması esastır; platform cüzdanlarında en fazla %5 kalabilir ve bu oran gün içinde %10'u aşamaz. | III-35/B.2 md. 41 |
| Platform, nezdindeki müşteri varlıklarının %3'ü kadar likit rezerv bulundurur. | III-35/B.2 md. 41 |
| Saklama kuruluşunun anahtarları güvenli donanım modüllerinde tutulur; sıcak cüzdan büyüklüğü kural olarak toplam müşteri varlığının %5'ine kadardır. | III-35/B.2 md. 26 |
| Transfer emirlerinde çok faktörlü kimlik doğrulama uygulanır. | III-35/B.2 md. 30 |
| Saklama kuruluşu listelenmiş bir varlığı saklayamıyorsa platform onu en fazla altı ay saklayabilir; süre sonunda varlık müşterinin bildirdiği cüzdan adresine aktarılır; adres bildirilmezse varlık satılabilir veya saklanmaya devam edilebilir. | III-35/B.2 md. 17 |
Bu kurallar saklama yapısını düzenler, varlığın değerini korumaz. Kanun'a göre bankalarda saklanan kripto varlıklar mevduat sigortası kapsamında değildir; kripto varlıklar Yatırımcı Tazmin Merkezi güvencesine de tabi değildir. Limitlerin sayısal örneği, izin süreci ve geçiş takvimi kripto varlık hizmet sağlayıcı yazısında yer alıyor. Bir platformun ticaret unvanı SPK'nın Faaliyette Bulunanlar Listesi'nde aranabilir; SPK'ya göre bu geçici listede yer almak, kuruluşun ilgili mevzuat uyarınca yetkilendirildiği anlamına gelmez.
Kripto cüzdan dolandırıcılıkları: sık görülen yöntemler
ABD Federal Ticaret Komisyonu (FTC), kripto ödemelerin yasal korumalar taşımadığını, genellikle geri alınamadığını ve paranın çoğu durumda yalnızca alıcı geri gönderirse kurtarılabildiğini belirtir. Sık görülen yöntemler:
- Kurtarma ifadesi talebi: Sahte destek hattı, sosyal medya hesabı veya cüzdan doğrulama sayfası ifadeyi ister. İfadeyi isteyen her talep cüzdanı boşaltma girişimi olarak değerlendirilir.
- Sahte uygulama ve site: Gerçek cüzdan veya platform uygulamasını taklit eden uygulamalar ve benzer alan adlı siteler girilen ifadeyi ya da şifreyi kaydeder.
- Kurum taklidi: SPK, 12 Haziran 2026 tarihli duyurusunda kendini SPK yöneticisi veya çalışanı olarak tanıtıp telefon, mesaj, e-posta veya sosyal medya üzerinden para isteyenlere karşı uyardı; SPK ve çalışanları bu kanallardan para talep etmez.
- Sahte yatırım yöneticisi: FTC'ye göre dolandırıcılar gerçek görünen sahte yatırım sitelerine yönlendirir ve ödemenin verdikleri bir QR kodu okutularak gönderilmesini ister.
- Adres değiştirme: Panoya kopyalanan adresi değiştiren zararlı yazılımlar transferi yanlış adrese yönlendirebilir. Adres yalnızca ilk ve son karakterlerine bakılarak değil, tamamı karşılaştırılarak onaylanır.
- İzinsiz platformlar: SPK'nın 2 Temmuz 2024 tarihli duyurusuna göre yurt dışı platformların Türkiye'de yerleşik kişilere yönelik faaliyetleri ve kripto ATM'lerinin faaliyetleri en geç 2 Ekim 2024'te sonlandırılmalıydı. İzinsiz faaliyetin işaretleri izinsiz yatırım faaliyeti yazısında anlatılıyor.
Varsayımsal örnek: 0,8 birimlik bir transferden önce aynı adrese 0,001 birimlik deneme transferi yapılsın ve ağ ücreti her transfer için 0,00003 birim olsun. Deneme, ek olarak 0,00003 birim ücret doğurur; bu, ana tutarın yaklaşık %0,004'üdür. Adres yanlışsa kayıp 0,8 birim yerine 0,001 birim ve ağ ücretiyle sınırlı kalır.
Hesaba bağlanan botların kullandığı anahtarlar için API anahtarı güvenliği yazısına bakılabilir. Dolar endeksli tokenların kendi riskleri stablecoin yazısında ele alınıyor.
Kripto varlıkları Fiva'da izleyin
Fiva'da kripto varlıklar günün özetinde ve piyasalar ekranında yer alır; kripto borsalarının hacim ve pazar payları da takip edilebilir. Fiyat alarmları ve notlarla kişisel izleme listeleri oluşturulabilir. Fiva yatırım tavsiyesi vermez ve uygulama üzerinden alım-satım işlemi yapılmaz.
Sık sorulan sorular
Kripto cüzdan ile platform hesabı arasındaki fark nedir?
Platform hesabında özel anahtarlar kurumdadır (saklamalı cüzdan), kişisel cüzdanda kullanıcıdadır. Türkiye'deki platformlarda tutulan varlıklar 6362 sayılı Kanun ve III-35/B.2 sayılı Tebliğ'deki saklama kurallarına tabidir.
Soğuk cüzdan internete hiç bağlanmaz mı?
Soğuk cüzdanda özel anahtar internetten izole bir ortamda tutulur ve imza bu ortamda atılır. Donanım cüzdan bir bilgisayara bağlanabilir, ancak anahtar cihazdan çıkmaz; dışarıya yalnızca imzalı işlem aktarılır.
Kurtarma ifadesi kaybolursa ne olur?
Cihaz çalışıyorsa varlıklar yeni bir cüzdana aktarılıp yeni ifade güvenle yedeklenir. Cihaz da kaybolmuş veya bozulmuşsa saklamasız cüzdanda erişimi geri getirecek merkezi bir kurum yoktur.
Donanım cüzdan bozulursa kripto varlıklar kaybolur mu?
Hayır. Varlıklar ağın defterinde kayıtlıdır, cihaz yalnızca anahtarları tutar. Kurtarma ifadesi ve varsa ek parola ile anahtarlar uyumlu başka bir cihazda veya yazılımda yeniden oluşturulur.
Platformda tutulan kripto varlıklar sigortalı mı?
Kanuni bir sigorta veya tazmin güvencesi yoktur. 6362 sayılı Kanun'a göre bankalarda saklanan kripto varlıklar mevduat sigortası kapsamında değildir ve kripto varlıklar yatırımcı tazmin hükümlerine tabi değildir. Kanun bunun yerine müşteri varlıklarının kuruluşun malvarlığından ayrı tutulmasını öngörür.
Kaynaklar
- Resmî Gazete: 7518 sayılı Sermaye Piyasası Kanununda Değişiklik Yapılmasına Dair Kanun (2 Temmuz 2024, sayı 32590), cüzdan tanımı (yeni sekmede açılır)
- Mevzuat Bilgi Sistemi: 6362 sayılı Sermaye Piyasası Kanunu, madde 3 ve 35/C (yeni sekmede açılır)
- Resmî Gazete: Kripto Varlık Hizmet Sağlayıcıların Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ (III-35/B.2), 13 Mart 2025 (yeni sekmede açılır)
- MKK: III-35/B.2 sayılı Tebliğ metni (md. 4, 17, 24, 26, 30 ve 41) (yeni sekmede açılır)
- SPK: Kripto Varlık Hizmet Sağlayıcılar, Faaliyette Bulunanlar Listesi (Geçici Liste) (yeni sekmede açılır)
- SPK: Kripto Varlık Hizmet Sağlayıcılara İlişkin Duyuru (2 Temmuz 2024) (yeni sekmede açılır)
- SPK: Dolandırıcılık Girişimlerine İlişkin Duyuru (12 Haziran 2026) (yeni sekmede açılır)
- BIP-32: Hierarchical Deterministic Wallets (yeni sekmede açılır)
- BIP-39: Mnemonic code for generating deterministic keys (yeni sekmede açılır)
- Bitcoin Developer Guide: Wallets (yeni sekmede açılır)
- Bitcoin.org: Some things you need to know (yeni sekmede açılır)
- Satoshi Nakamoto: Bitcoin, A Peer-to-Peer Electronic Cash System (2008) (yeni sekmede açılır)
- FTC: What To Know About Cryptocurrency and Scams (yeni sekmede açılır)
Burada yer alan yatırım bilgi, yorum ve tavsiyeleri yatırım danışmanlığı kapsamında değildir. Yatırım danışmanlığı hizmeti, yetkili kuruluşlar tarafından kişilerin risk ve getiri tercihleri dikkate alınarak kişiye özel sunulmaktadır. Burada yer alan yorum ve tavsiyeler ise genel niteliktedir. Bu tavsiyeler mali durumunuz ile risk ve getiri tercihlerinize uygun olmayabilir. Bu nedenle, sadece burada yer alan bilgilere dayanılarak yatırım kararı verilmesi beklentilerinize uygun sonuçlar doğurmayabilir.