Kripto varlık saklama nedir? Saklama modelleri rehberi

Kripto varlık saklama, kripto varlıklar üzerinde transfer yetkisi veren özel anahtarların korunmasıdır. Kripto varlık saklama, Mart 2025'te yayımlanan iki tebliğ ile Türkiye'de tanımlı bir hizmet kategorisine dönüşmüştür.

Bahsedilen iki tebliğ, bu hizmeti verecek şirketlerin kuruluş şartlarını, çalışma esaslarını ve sermaye yeterliliğini ayrıntılandırırken 6362 sayılı Sermaye Piyasası Kanunu'nun 35/B ve 35/C maddelerinde saklama hizmetinin yalnızca yetkilendirilmiş kuruluşlarca sunulması öngörülüyor.

Blokzincirde bir varlık el değiştirdiğinde fiziksel olarak hiçbir şey hareket etmez. Örneğin Bitcoin, herkesin okuyabildiği bir kayıt olarak ağda kalmaya devam eder. Değişen tek şey, o bakiye için geçerli imza üretebilen tarafın kim olduğudur. Kısa tanımla dijital varlık saklama, bu imza yetkisinin korunması pratiği olarak özetlenebilir.

Düzenlemeler de bu tanım etrafında şekilleniyor. Saklama kuruluşu; anahtarı tutmakla, imza yetkisini kontrollü biçimde kullandırmakla, müşteri varlıklarını kendi varlıklarından ayırmakla ve tüm süreçleri raporlanabilir hâle getirmekle yükümlü kılınıyor. Bu da dijital varlık saklamayı bir güvenlik meselesinin ötesinde sorumluluk dağılımı, kayıt düzeni ve denetlenebilirlik meselesi hâline getiriyor.

Kripto varlık saklamada aslında ne saklanır?

Saklanan şey kripto varlığın kendisi değil, o varlığa transfer yetkisi veren özel anahtardır. Kripto varlık dağıtık defter ağı üzerinde kayıtlı kalır, sahiplik ise ilgili cüzdandan transfer yapabilme yetkisiyle kanıtlanır. III-35/B.2 sayılı Tebliğ, özel anahtarı cüzdanlardan transfer hakkı sağlayan gizli anahtar olarak tanımlar. Saklama hizmeti de bu anahtarın saklanmasını ve yönetimini kapsar.

Tebliğde anahtarlar iki ayrı işlevle tanımlanıyor. Açık anahtar (public key), ağ üzerinden bir cüzdana kripto varlık gönderilebilmesi için o cüzdanı eşsiz biçimde adresleyen anahtardır. Özel anahtar (private key) ise transfer yetkisini taşıyan gizli anahtardır. Cüzdan da bu anahtarların depolanmasını ve varlıkların transfer edilmesini sağlayan yazılım, donanım, sistem ya da uygulamalara verilen genel ad olarak tanımlanabilir.

Bu nedenle saklamayı yalnızca bir depolama işi olarak düşünmemek gerekir. Zira anahtar kimin kontrolündeyse varlık üzerindeki tasarruf yetkisi de ondadır.

Açık anahtar, özel anahtar ve imza

Saklama modelinin altında temelde üç mekanizma bulunur. Sonraki bütün ayrımlar bu üçünün nasıl düzenlendiğine bağlıdır.

• Açık anahtar: Özel anahtardan türetilir ve alıcı adresinin üretilmesinde kullanılır. Serbestçe paylaşılabilir, harcama yetkisi vermez.
• Özel anahtar: İlgili adres için geçerli imza üreten gizli değerdir. Operasyonel anlamda varlığı elinde tutmak, bu anahtarı elinde tutmaktır.
• Dijital imza: Belirli bir işlemin anahtar sahibi tarafından yetkilendirildiğini gösteren kriptografik kanıttır.

İmza, göründüğünden daha geniş bir işlev üstlenir. NIST imza standardına göre dijital imza hem imzalayanın kimliğini doğrular hem de imzalanan veride yetkisiz değişiklik yapılıp yapılmadığını tespit eder. Ağa iletildikten sonra yürütülen şey, bu imzalı talimattır.

Kripto varlık saklama geleneksel saklamadan nasıl ayrılır?

Geleneksel saklama, kayda geçmiş bir enstrümanı ve onun mülkiyet kaydını korur. Kaybolan bir belge yeniden düzenlenebilir, hatalı bir kayıt düzeltilebilir. Blokzincirde tamamlanan bir transfer ise geri alınamaz. Kripto varlık saklamada korunan şey imza yetkisidir ve bu yetki kaybedildiğinde eşdeğer bir telafi mekanizması bulunmaz.

Farklı yasama bölgelerindeki regülatörler de iki hizmeti birbirinin devamı olarak ele alıyor. ABD'de OCC'nin 1170 sayılı yorum mektubunda müşteriler adına kriptografik anahtar tutmak, bankaların uzun süredir yürüttüğü emanet işlevinin modern biçimi olarak tanımlanıyor. Öte yandan SEC'in saklama rehberinde saklama, müşteri varlıklarını doğrudan ya da dolaylı olarak elde tutmak şeklinde ifade ediliyor.

Zincir üstü analiz kuruluşlarının tahminlerine göre 2,3 ile 3,7 milyon arasında Bitcoin'in erişilemez olmasının sebebi büyük ölçüde kaybolan anahtarlar ve atılan donanımlara bağlıdır. Bu da anahtar yönetiminin önemini ortaya koyan verilerden biri olarak değerlendirilebilir.

Saklama kuruluşu ne yapar?

Saklama kuruluşu, müşteri adına özel anahtarları üreten, koruyan ve yöneten kuruluştur. Saklama; depolamanın ötesinde, işlemlerin yetkilendirilmesini ve yürütülmesini, onay verecek kişilerin kontrolünü, müşteri varlıklarının kuruluşun kendi malvarlığından ayrı tutulmasını ve pozisyonların müşteriye raporlanmasını da kapsar.

Yasal dokümanlarda da saklamanın işlevleri bu şekilde sıralanır. Örneğin MiCA'nın 75. maddesinde bu işlevler; yazılı bir saklama politikası, her müşteri adına açılmış bir pozisyon kaydı, hareketlerin gecikmeden kaydedilmesi, periyodik bildirim ve müşteri varlıklarının ayrıştırılması olarak sıralanır. Türkiye'deki düzenlemelerde de mutabakat, kayıt ve ayrıştırma yükümlülükleri benzer biçimde tanımlanır.

Saklama modelleri ve modellerin sınırları

Kripto varlık saklama modelleri; anahtarı kimin kontrol ettiği ve anahtarların nerede tutulduğu veya imza yetkisinin nasıl bölündüğü gibi kriterlere göre farklılaşır.

• Gözetimsiz (non-custodial / self-custody) saklama: Anahtarları ve kurtarma ifadesini yalnızca kullanıcı tutar. Varlıkların kontrolü tamamen kullanıcıda olduğundan prensipte telafi mekanizması da yoktur.
• Gözetimli (custodial) saklama: Anahtarları bir kuruluş tutar ve yönetir. Kurtarma ve operasyonel destek, karşı taraf riskini ortaya çıkarır.
• Soğuk, ılık ve sıcak cüzdan: Anahtarların internete kapalı ortamlarda mı yoksa bağlantılı sistemlerde mi tutulduğunu tarif eder.
• Çoklu imza (multisig) ve MPC (multi-party computation): Tek anahtara bağımlılığı ortadan kaldırmanın iki yolu olarak bilinir. Biri birden fazla bağımsız anahtarın onayını arar, diğeri tek anahtarı paylara böler.
• Kurumsal saklama: Ayrıştırılmış hesaplar, çok onaylı iş akışları ve kurumsal raporlama gereksinimi üzerine kurulur.

Bir kripto varlık saklama altyapısının güvenilirliği; anahtar kontrol yetkisinin kimde olduğu ve operasyonel süreçlerin nasıl yürütüldüğü gibi birden fazla kriterle belirlenir. Başka bir deyişle, yukarıda sıralanan model adları tek başına güvenlik seviyesini tarif etmez. Burada mimari ve mühendislik kararları devreye girer.

Türkiye'de saklama nasıl düzenleniyor?

Türkiye'de müşterilerin kendi cüzdanlarında tutmayı tercih etmediği kripto varlıkların asgari %95'i saklama kuruluşunda tutulur. Azami %5'lik kısım platform nezdindeki cüzdanlarda kalır. Paribu Custody, bu yapıyı hibrit saklama modeli olarak adlandırır. Tam saklama modelinde ise soğuk, ılık ve sıcak cüzdan altyapısının tamamı saklama kuruluşundadır ve transfer emirleri saklama kuruluşu tarafından yürütülür.

Türkiye'de kripto varlık saklama teknik gereklilikleri ayrıca tanımlanıyor. TÜBİTAK BİLGEM tarafından hazırlanan ve SPK düzenlemelerinde atıf yapılan Altyapı Kriterleri, soğuk cüzdanların hava boşluğu veya izole geçit sistemleriyle internete kapalı tutulmasını, özel anahtarların güvenli donanım modüllerinde üretilip yalnızca bu modüller içinde şifresiz bulunmasını ve transferlerin çoklu imza ya da eşik kriptografisiyle doğrulanmasını öngörür. Onaylı adres listesi kontrolü ve değiştirilemez denetim izleri de aynı kriter setinde yer alır.

Paribu Custody bu tabloda nerede yer alıyor?

Paribu Custody, kurumsal müşteriler için hibrit saklama modeli ve tam saklama modeliyle hizmet veriyor. MPC, HSM ve Secure Enclave teknolojilerini bir araya getiren tescilli güvenlik mimarisi ColdShield® ile ayrışan Paribu Custody'nin bilgi güvenliği sistemlerinin niteliğinin, SOC 1 Type II ile SOC 2 Type II bağımsız denetim raporlarıyla doğrulandığı biliniyor. 80'den fazla ağ destekleyen ve bu sayede 1.000'den fazla token'ı kapsayabilen Paribu Custody, bugüne kadar toplam hacmi 150 milyar doları aşan 60 milyondan fazla işleme ev sahipliği yaptı.

Paribu Custody; Türkiye'de SPK'nın faaliyette bulunanlar listesinde saklama başvurusuyla yer alan, 1,5 milyar TL ödenmiş sermayeli Paribu Kripto Varlık Saklama Kuruluşu A.Ş. ünvanlı şirketiyle faaliyet gösteriyor.