Türkiye'de Kripto Platformları İçin Rezerv Kanıtı Denetimi – Regülasyonel Çerçeve
Türkiye'de Kripto Platformları İçin Rezerv Kanıtı Denetimi – Regülasyonel Çerçeve
Türkiye'de Kripto Platformları İçin Rezerv Kanıtı Denetimi – Regülasyonel Çerçeve
Kripto varlık platformlarının rezerv kanıtı (Proof of Reserves, PoR) denetimleri son dönemde Türkiye'de yasal bir gereklilik haline gelmiştir. Aşağıda, bu denetimlerin zorunluluğu, sorumlu kurumlar, mevzuattaki tanımı, güncel düzenlemeler ve büyük platformların uygulamaları ele alınmaktadır.
Rezerv Kanıtı Sunma Zorunluluğu
Türkiye'de faaliyet gösterecek kripto varlık platformlarının rezerv kanıtı denetimi yaptırması artık yasal bir zorunluluktur. Sermaye Piyasası Kurulu (SPK), kripto varlık hizmet sağlayıcılarına (KVHS) yönelik ikincil düzenlemeler kapsamında platformların düzenli olarak rezerv kanıtı denetiminden geçmesini şart koşmuştur. Bu kapsamda SPK, kripto platformlarının her üç ayda bir (çeyreklik dönemler sonunda) rezerv kanıtı denetimi yaptırmasını öngörmektedir. Özellikle, kripto platformlarının faaliyet izni başvurusu öncesinde bir rezerv kanıtı denetimi raporu sunmaları gerekmektedir.
Bu düzenleme, 13 Mart 2025 tarihli Resmî Gazete’de yayımlanan "Kripto Varlık Hizmet Sağlayıcılarının Kuruluş ve Faaliyet Esasları Hakkında Tebliğ" (III-35/B.1) ile getirildi. Söz konusu Tebliğ, kripto varlık hizmet sağlayıcılarının rezerv kanıtı sunma yükümlülüğü olduğunu açıkça belirtmektedir. Bu yükümlülük doğrultusunda platformlar, müşteri varlıklarının gerçekten platform rezervlerinde tutulduğunu kanıtlamak amacıyla belirlenen usullere uygun denetimler yaptırmak zorundadır.
Özetle: Türkiye'de kripto para alım-satım ve saklama platformları için rezerv kanıtı denetimi artık zorunludur. Bu zorunluluk, SPK'nın yayınladığı tebliğ ve ilkeler ile resmileşmiş ve lisans başvurusu yapacak veya faaliyete devam edecek platformlar için bir şart haline gelmiştir.
Denetimi Talep Eden ve Düzenleyen Kurumlar
Türkiye’de kripto varlık platformlarının rezerv denetimleriyle ilgili başlıca düzenleyici kurum SPK’dır. 2024 yılında yürürlüğe giren kanun değişikliğiyle kripto varlık hizmet sağlayıcıları SPK’nın yetki alanına alınmıştır. Bu kapsamda SPK, kripto platformlarının kuruluş, faaliyet ve denetim esaslarını belirleme görevini üstlenmiştir. SPK, hem sermaye yeterliliği hem de şeffaflık/güvenlik açısından platformları düzenleyen tebliğler yayımlamış ve rezerv kanıtı denetimlerini bu düzenlemeler içinde zorunlu kılmıştır. SPK’nın 8 Mayıs 2025 tarihli ilke kararı ile de bu denetimlerin usul ve esasları detaylandırılmıştır.
Diğer ilgili kurumlar ve rolleri şu şekildedir:
MASAK (Mali Suçları Araştırma Kurulu): Kripto varlık platformları 1 Mayıs 2021’den beri MASAK mevzuatı kapsamında “yükümlü” olarak tanımlanmıştır. Bu, platformların kara para aklama ve terör finansmanını önleme kanunlarına tabi olduğunu ve müşteri kimlik tespiti, şüpheli işlem bildirimi gibi yükümlülükleri bulunduğunu ifade eder. MASAK, kripto hizmet sağlayıcıları için 2021'de bir rehber yayımlayarak bu yükümlülükleri açıklamıştır. Ancak MASAK’ın düzenlemeleri rezerv kanıtı denetimini kapsamaz; daha çok finansal suçların engellenmesine yöneliktir. Yani MASAK, kripto platformlarını denetlerken rezerv kanıtından ziyade AML/KYC (müşterini tanı) kurallarına uyumu denetlemektedir.
TCMB (Türkiye Cumhuriyet Merkez Bankası): TCMB kripto varlıkları doğrudan düzenleyen bir kurum olmamakla birlikte, Nisan 2021’de ilk kripto varlık düzenlemesini yapmıştır. 16 Nisan 2021 tarihli yönetmelikle kripto varlıkların ödemelerde kullanılmasını yasaklamış ve kripto varlığı tanımlamıştır. Bu düzenleme kripto varlıkların ödeme aracı olmaktan çıkarılmasını sağladı ancak kripto borsalarının rezerv denetimi konusunda TCMB’nin bir şartı bulunmamaktadır. TCMB'nin kriptoyla ilgili rolü, ödeme sistemleriyle sınırlıdır ve örneğin bankalar dışında ödeme kuruluşlarının kripto işlemlerine aracılık edemeyeceğine dair hükümler getirmek olmuştur
Rezerv kanıtı denetimi TCMB’nin düzenleme alanında değildir; bu konu yatırımcı korunması ve platform gözetimi kapsamında SPK tarafından ele alınmaktadır.
Diğer Kurumlar: Kripto varlık platformlarının vergisel boyutları için Hazine ve Maliye Bakanlığı’nın çalışmaları, siber güvenlik için BTK veya TBB (bankalar birliği) ile koordinasyon gibi unsurlar bulunsa da, doğrudan rezerv kanıtı denetimi talep eden başka bir kurum yoktur. Örneğin, Bankacılık Düzenleme ve Denetleme Kurumu (BDDK) bankaları denetler ancak kripto platformları banka olmadığından BDDK kapsamında değildir. Sermaye piyasaları düzenleyicisi olarak SPK, bu alandaki ana düzenleyici konumundadır.
Sonuç olarak: Rezerv kanıtı denetimi yasal olarak SPK tarafından talep edilip düzenlenmektedir. MASAK, platformların finansal suçlarla mücadele kurallarına uyumunu denetlerken; TCMB ise kripto varlıkların ödeme sistemi dışında tutulmasını düzenlemiştir – bu kurumlar rezerv kanıtı konusunda doğrudan bir düzenleme yapmamıştır.
Rezerv Kanıtı Denetim Yöntemleri ve Mevzuatta Tanımı
Mevcut Türk mevzuatında rezerv kanıtı denetiminin yöntemi genel hatlarıyla tanımlanmış, ancak spesifik teknik terimlere (ör. Merkle ağacı gibi) doğrudan yer verilmemiştir. SPK’nın ilke kararları ve ilgili Tebliğ hükümleri, denetimin kapsam ve yöntemlerini ana hatlarıyla belirler:
Bağımsız Denetim Kuruluşları: Rezerv kanıtı denetimleri, SPK tarafından yetkilendirilmiş bilgi sistemleri bağımsız denetim kuruluşları aracılığıyla yapılacaktır. Yani platform, SPK’nın lisans verdiği bağımsız bir denetim şirketiyle anlaşarak rezervlerinin doğrulanmasını sağlamak zorundadır. Bu denetim şirketleri genellikle uluslararası denetim firmaları veya SPK listesindeki bağımsız denetim kuruluşlarıdır. Her platform, denetime tabi her çeyrek dönem için en geç o dönemin ilk ayında denetim firmasına sözleşme ile bağlanacaktır. Bir denetim firması en fazla 12 ardışık dönem (3 yıl) aynı platformu denetleyebilir; başdenetçi ise en fazla 4 dönem (1 yıl) üst üste aynı platformun raporunu imzalayabilir. Bu kural, denetimde rotasyon ve tarafsızlık sağlamak için getirilmiştir.
Denetimin Kapsam ve Metodolojisi: SPK düzenlemelerine göre denetim sırasında platformun tuttuğu kripto varlıkların %100’ünün varlığı doğrulanmalıdır. Yani denetçiler, platform kayıtlarında müşteri adına görünen tüm kripto varlıkların karşılığının ilgili blockchain ağlarında gerçekten mevcut olduğunu teyit ederler. Bu amaçla, denetçi firma platformun beyan ettiği cüzdan adreslerini alır ve bu adreslerdeki bakiyeleri blokzincir üzerinde sorgular. Denetçi, platformun ilettiği cüzdan adreslerinin gerçekten o platforma ait olduğunu da teyit etmekle yükümlüdür; bunun için cüzdanlardan imza attırma veya benzeri yöntemler kullanılır ve kullanılan doğrulama yöntemi raporda açıklanır.
Rastgele Tarih Kontrolü: Denetim her çeyrekte iki farklı rastgele tarih için gerçekleştirilir. Denetçi, denetlenen üç aylık dönem içerisinde habersiz şekilde iki tarih seçer ve o tarihlerdeki müşteri kripto varlık kayıtlarını blokzincir verileriyle karşılaştırır. Bu tarihler platforma, denetim gününden en az bir gün öncesine dek açıklanmaz. Böylece platformun kısa süreli fon transferi ile denetimi yanıltmasının önüne geçilmesi hedeflenir.
Denetim Raporu İçeriği: Mevzuat, rezerv kanıtı denetim raporlarında asgari bulunması gereken bilgi ve tabloları ayrıntılı şekilde tanımlamıştır. Raporda yer alacak başlıca bilgiler şunlardır:
Platformdaki tüm kripto varlıkların listesi (hangi kripto paralar tutuluyor).
Müşterilere ait kripto varlıkların cari değeri (her bir varlık toplamının TL karşılığı).
Kripto varlıkların bulunduğu blokzincir ağları (Bitcoin, Ethereum vb. hangilerinde tutulduğu).
Saklama modeli ve erişim kontrollerine ilişkin bilgiler (varlıklar sıcak/soğuk cüzdanda mı, anahtar yönetimi nasıl, güvenlik önlemleri neler).
Kripto varlıkların saklandığı cüzdanların listesi ve adresleri (platformun rezerv olarak tuttuğu tüm adreslerin dökümü).
Müşterilere ait nakit bakiyelerin toplamı (platformdaki Türk Lirası veya diğer fiat bakiyelerin büyüklüğü).
Platforma ait kendi kripto varlıklarının değeri ve nakit bakiyeleri (şirketin kendi varlıkları ayrı gösterilir).
Platformun çalıştığı saklama kuruluşları (varlıkları emanette tutmak için anlaştığı üçüncü taraf custodian varsa onların listesi).
Nakit bakiyelerin tutulduğu banka ve hesap bilgileri (müşteri fiat paralarının hangi banka hesaplarında korunduğu).
Bu sayede denetçi, platformun hem kripto rezervlerini hem de nakit rezervlerini bütüncül olarak inceleyip rapora geçirir. Rapor ayrıca denetimde kullanılan araç ve teknikleri (ör. kullanılan blockchain explorer araçları, cüzdan doğrulama yöntemleri) de belirtir.
Merkle Ağacı Kullanımı: Türk mevzuatı, rezerv kanıtı denetiminde Merkle ağacı veya sıfır bilgi ispatı (ZK-SNARK gibi) gibi özel kriptografik yöntemlerin kullanımını şart koşmamaktadır. Düzenleyici, teknik yöntemin seçimini denetim firmasına ve platformun uygulamalarına bırakmıştır. Örneğin, globalde bazı borsalar Merkle Tree tabanlı PoR sistemleri geliştirerek kullanıcıların kendi bakiyelerini doğrulamasına imkân tanımıştır.
Türkiye’de SPK denetim yaklaşımı ise daha çok bağımsız denetçi tarafından %100 rezerv tespiti şeklindedir. Bu süreçte denetçiler isterlerse Merkle ağacı gibi yöntemleri yardımcı araç olarak kullanabilir; ancak kanunen Merkle ağacı zorunlu bir standart olarak tanımlanmamıştır. Önemli olan, denetçinin tüm müşteri bakiyelerini tek tek doğrulayarak raporlamasıdır. Nitekim SPK’nın ilke kararında, "denetimde kapsam dahilindeki kripto varlıkların %100’ünün varlığının teyit edilmesi gerektiği" açıkça vurgulanmıştır. Bu, herhangi bir örneklem alma yerine tam sayım yapılmasını zorunlu kılar.
Raporlama ve Gizlilik: Rezerv kanıtı denetimi sonucunda hazırlanan rapor, denetim dönemi bitimini takip eden 10 iş günü içinde platformun yönetim kuruluna teslim edilir ve 15 iş günü içinde yönetim kurulunun kabul kararıyla birlikte SPK'ye gönderilir. Raporda denetimin amacı, kapsamı, gerçekleştirildiği tarihler, denetçilerin kimlik ve unvanları gibi bilgiler giriş bölümünde yer alır. Bu rapor kamuya açıklanmamaktadır; yalnızca platformun yönetimi ve SPK tarafından incelenir. Yani, rezerv kanıtı denetimi sonucu hazırlanan detaylı rapor, şirket içi ve düzenleyici kullanım içindir. Bununla birlikte, platformlar dilerse kendi inisiyatifleriyle kullanıcılarına özet bilgiler veya belirli varlıklara dair kanıt sunabilir (aşağıda büyük platformlar örneğinde görüldüğü gibi).
Özetle, Türk düzenlemeleri rezerv kanıtı denetiminin yöntemine dair çerçeveyi çizmiş, ancak teknik uygulamayı uzman denetçilere bırakmıştır. Merkle tree gibi kavramlar mevzuatta geçmese de, bağımsız denetim yoluyla blokzincir kayıtları üzerinde %100 doğrulama esası getirilmiştir. Bu yaklaşım, kullanıcı fonlarının platform rezervlerinde tam karşılık bulundurulduğunu düzenli ve güvenilir bir şekilde kontrol etmeyi amaçlar.
Rezerv Kanıtı Denetimi hizmetlerimiz için bize ulaşabilirsiniz.
info@ozmconsultancy.com
