Dijital varlık saklama nasıl çalışır?

Dijital varlık saklama, özel anahtarın korunmasından başlayarak anahtarın üretilmesinden kullanılmasına kadar geçen süreci tanımlayan bir kavramdır. Sermaye Piyasası Kurulu'nun (SPK) 13 Mart 2025 tarihli III-35/B.1 ve III-35/B.2 sayılı tebliğleri ile bu süreç, Türkiye'de kripto varlık hizmet sağlayıcıları (KVHS) için düzenlenmiş bir yükümlülük hâline geldi. Tebliğlere göre kripto varlık alım satım hizmeti veren platformlar, müşteri varlıklarının önemli bir bölümünü kendi bünyeleri dışında, kurulun yetkilendirdiği bir saklama kuruluşunda tutmak zorundadır. Böylece anahtar kontrolü platformdan ayrılır ve regülatörün yetkilendirdiği bir saklamacıya taşınır.

Dijital varlık saklama nedir?

Türkiye'de düzenleyicilerin tanımına göre dijital varlık saklama, bir kripto varlığa veya o varlığın transferini sağlayan özel anahtara ilişkin saklamayı, yönetimi ya da kurulca belirlenecek diğer hizmetleri kapsayan faaliyettir. Daha temel tanımda saklanan şey varlığın kendisi değil, varlık üzerinde işlem yapma yetkisi veren kriptografik anahtardır. Hizmet, bu yetkinin kimin elinde ve hangi kontroller altında tutulduğunu belirler.

Dijital varlık saklama nasıl çalışır?

Saklama, anahtar üretiminden başlayıp işlemin ağa iletilmesiyle sona eren geniş bir süreci kapsar. Başka bir deyişle saklamacıların, yani saklama kuruluşlarının özellikle kurumsal saklama hizmetindeki sorumluluk seti anahtar güvenliğinden başlar, işlem güvenliğine ve hatta raporlamaya kadar uzanır. Özel anahtarın kendisi hiçbir aşamada ağa gönderilmez, ağa yalnızca imzalanmış işlem verisi ulaşır. Kurumsal saklamada bu adımların her biri ayrı bir kontrol noktası taşır.

Anahtar üretimi, ABD Ulusal Standartlar ve Teknoloji Enstitüsü'nün (NIST) kriptografik anahtar üretimine ilişkin SP 800-133 rehberinde tanımlanan rastgelelik ve bütünlük gerekliliklerine uygun biçimde yapılır. Üretilen anahtar doğrudan yazılım ortamında değil, donanım güvenlik modülü (HSM) gibi izole bir sınır içinde tutulur ve bu sınırın dışına düz metin olarak çıkmaz.

İşlem talebi platform tarafından tetiklenir, ama yetkilendirme saklama kuruluşunun tanımladığı politika ve onay eşiğine göre yürür. Kurumsal saklamada bir onay, birden fazla tarafın onayına bağlıdır. Onay tamamlandığında imzalama gerçekleşir ve yalnızca bu aşamadan sonra üretilen imza ilgili ağa iletilir.

Bir kurumsal dijital varlık saklama platformunda yürütülen işlemler genel hatlarıyla şu şekilde özetlenebilir:

• Anahtar üretimi: Varlık üzerinde işlem yapma yetkisi veren kriptografik anahtar çifti oluşturulur.
• Koruma: Özel anahtar, HSM veya çok taraflı hesaplama (MPC) gibi bir mekanizmayla izole edilir.
• İşlem talebi: Transfer veya başka bir işlem platform tarafından başlatılır.
• Yetkilendirme: Talep, saklama kuruluşunun belirlediği onay politikasına göre değerlendirilir.
• İmzalama: İşlem, anahtar veya anahtar parçaları kullanılarak imzalanır.
• Ağa iletim: Yalnızca imzalanmış işlem verisi ilgili ağa gönderilir, özel anahtarın kendisi hiçbir aşamada çıkarılmaz.

Sıcak cüzdan ile soğuk cüzdan arasındaki fark

III-35/B.1 sayılı Tebliğ, sıcak cüzdanı internete bağlı ve müşteri transferlerini karşılamak için kullanılan cüzdan teknolojisi olarak tanımlar. Soğuk cüzdan ise özel anahtarların fiziksel, idari ve teknik bilgi güvenliği kontrolleriyle korunduğu, işlem onaylama ve imzalama gibi kritik adımların internetten izole edilmiş ortamlarda yürütüldüğü cüzdan türüdür.

Bu ayrım en temelde güvenliği artırmak için uygulanır. Varlık güvenliği perspektifinden bakıldığında, günlük transfer hacmini karşılayan ve internete bağlı bir biçimde çalışan sıcak cüzdanın saldırı yüzeyi daha geniştir. Soğuk cüzdan ise ağdan fiziksel olarak izoledir ve erişim yalnızca yetkili personelin fiziksel operasyonu gerekir. Bu izolasyon ve çalışma gerekliliği riskleri en az seviyeye indirir.

Kurumsal varlık saklamada anahtar yönetimi hangi mekanizmalarla sağlanır?

Kurumsal dijital varlık saklama hizmeti sunan şirketler; kriptografi biliminin önerdiği ve teknoloji şirketleri tarafından üretilen yazılım ve donanımları farklı kombinasyonlarla bir araya getirerek kendi güvenlik mimarilerini inşa edebilir. Kurumsal saklamada anahtar yönetimi dendiğinde en çok karşılaşılan üç kavram çoklu imza (multisig), MPC ve HSM'dir. Multisig bir işlemin birden fazla bağımsız anahtarla ayrı ayrı imzalanmasını ister. MPC ise tek bir anahtarı parçalara böler ve parçaları hiçbir zaman bir araya getirmeden ortak bir imza üretir.

Multisig, onay kuralının ağ üzerinde şeffaf ve doğrulanabilir kalmasını sağlar. MPC ise işlem hızı ve çok ağlı yapılar arasında taşınabilirlik açısından avantaj sunar. Kurumsal saklama yapılarının büyük bölümü bu iki yaklaşımı birlikte kullanır. Fiziksel bir donanımı tanımlayan HSM ise bu iki mekanizmanın da fiziksel dayanağıdır. Anahtar veya anahtar parçaları HSM'in korumalı sınırı içinde üretilir ve saklanır. İşlem imzalama isteği HSM'e gönderilir ve imza yalnızca bu sınırın içinde oluşturulur.

Hiçbir mekanizma tek başına riski ortadan kaldırmaz. Multisig'de bir anahtarın tam olarak ele geçirilmesi geçerli bir imza üretebilir, MPC'de ise tehdit anahtar parçalarının üretildiği ve dağıtıldığı sürece dayanır. Bu sebeple dijital varlık saklama hizmeti sağlayıcıları, gelişen tehdit ortamını göz önünde bulundurarak blokzincir üzerinde işlemlerin güvenle gerçekleştirilebilmesi için tüm tekil hata noktalarını (SPoF) ortadan kaldırmak için çeşitli yöntemleri bir mimaride bir araya getirir.

Saklamanın kurumsal bağlamda önemi nedir?

Bireysel bir kullanıcı için tek bir anahtar kaybı geri döndürülemez bir sonuç doğurur. Ama kurumsal ölçekte risk çok daha geniş bir yüzeye yayılır. Binlerce müşterinin varlığı tek bir teknik veya operasyonel hatayla aynı anda tehlikeye girebilir. Saklama kuruluşu bu riski, anahtar üretiminden denetim kaydına kadar her adımı belgeleyerek ve tek bir kişiye veya tek bir sisteme bağımlı kalmayarak azaltır. Kripto varlık saklamada güven, anahtarın oluşturulduğu andan itibaren başlar; başka bir deyişle entropi ve kriptografi, kripto varlık saklamada güvenliğin temelini oluşturur.

Saklama sistemleri için geliştirilen sektör standartları da bu noktaya odaklanır. CryptoCurrency Security Standard ve Digital Asset Custody Standard gibi çerçeveler, anahtar üretimi, anahtar saklama, anahtar kaybı politikası, rezerv kanıtı ve denetim kayıtlarını asgari gereklilik olarak sayar. Bu gerekliliklerin ortak paydası, hiçbir adımın tek bir kişinin, kod parçasının veya donanımın inisiyatifine bırakılmamasıdır.

Kurumsal saklamanın asıl değeri, hızdan çok sürekliliktedir. Bir çalışan işten ayrılabilir, bir cihaz arızalanabilir veya bir veri merkezine erişim kesilebilir ama doğru kurulmuş bir saklama yapısında işlemler durmaz. Saklama kuruluşları, geliştirdikleri ürünleri saklama disiplinini pasif bir kasa formatından çıkarmak için diğer zincir üstü fırsatlarla da çeşitlendirir. Staking gibi zincir üstü sermaye verimliliği araçları ve tokenizasyon gibi yeni olanaklar, dijital varlık saklama yazılımlarının saklama işlevinin ötesine geçerek modern hazine yönetimi araçlarına dönüşmesini de beraberinde getirir.

Türkiye'de düzenleyici çerçeve kripto saklama hizmetini nasıl şekillendiriyor?

TÜBİTAK'ın belirlediği altyapı kriterleri, müşteri varlıklarının asgari %95'inin saklama kuruluşunda, kalan %5'inin ise platformun sıcak cüzdanında tutulmasını öngörüyor. Bu model, Paribu Custody tarafından hibrit saklama modeli olarak adlandırılıyor. TÜBİTAK kriterlerinin sağlanması hâlinde platform, varlıkların tamamını saklama kuruluşuna bırakabiliyor. Bu durum tam saklama modeli olarak adlandırılıyor.

Öte yandan ilgili tebliğin 14'üncü maddesinin 16'ncı fıkrasında, güvenli donanımlar ile bunları çalıştırmak için gereken yazılım ve sunucuların Türkiye sınırları içinde yer alması gerekliliğine vurgu yapılıyor. Başka bir deyişle düzenleme, saklama teknolojisinde anahtarların kimde ve hangi ülke sınırları içinde tutulduğuna bakar.

Dijital varlık saklamada sınırlar ve yaygın yanlış anlamalar

Saklama hizmetinin sınırları, anahtar kontrolü ve işlem güvenliğiyle çizilir. Saklama kuruluşları getiri vaadinde bulunmaz, piyasa hareketlerinden sorumlu tutulmaz. Saklama, yatırım tavsiyesi, portföy yönetimi ve aracılık faaliyetinden farklı bir işlev olarak öne çıkar.

Dijital varlık saklamada birbiriyle en sık karışan iki kavram, kripto cüzdanı ile saklama hizmetidir. Bir cüzdan, anahtarlarla işlem yapmayı sağlayan bir araçtır ve bireysel veya kurumsal olabilir. Saklama hizmeti ise bu anahtarların üretiminden yetkilendirme politikasına kadar tüm yönetim sürecini kapsar. Genellikle birden fazla teknolojiyi (soğuk cüzdan, HSM, MPC) bir arada kullanır. Bir platformun kendi cüzdan altyapısına sahip olması, o platformu saklama kuruluşu yapmaz. Özellikle Türkiye'de kripto varlık alım satım platformları ile kripto varlık saklama kuruluşları, kuruluş şartlarından faaliyet esaslarına, pek çok açıdan ayrı tutulur.

Bir diğer yanlış anlama, herhangi bir mekanizmanın riski sıfıra indirdiği varsayımıdır. HSM, MPC ve multisig farklı tehditleri azaltır ama hiçbiri operasyonel hatayı, insan hatasını veya fiziksel felaketi tek başına ortadan kaldırmaz. Bu nedenle kurumsal saklama yapıları tek bir teknolojiye değil, birden fazla kontrolün bir arada kullanıldığı katmanlı bir mimariye dayanır.

Paribu Custody'nin bu modeldeki yeri

Paribu çatısı altında yer alan, Paribu iştiraklerinden biri olan Paribu Kripto Varlık Saklama Kuruluşu A.Ş., bu listede saklama başvurusu statüsüyle yer alıyor. Paribu Custody, hibrit ve tam saklama modelleriyle sunduğu hizmetleri ve güvenliği bağımsız denetimlerle kanıtlanan yerli dijital varlık saklama teknolojisi ColdShield® Türkiye'de KVHS'lere, bankalara ve diğer finans kuruluşlarına hizmet vermeye hazır.