Kripto Varlık Hizmet Sağlayıcıları (KVHS): SPK Lisansı ve MASAK Uyum Rehberi

Yasal Dayanak

6362 sayılı Sermaye Piyasası Kanunu’nda 2024 yılında yapılan değişiklikle kripto varlık hizmet sağlayıcıları (KVHS), Sermaye Piyasası Kurulu’nun (SPK) düzenleme ve denetim yetkisi altına alınmıştır. Bu adım, sektörün uzun süredir içinde bulunduğu belirsizliği sona erdiren bir dönüm noktası olmuştur.

SPK, 13 Mart 2025 tarihli ve 32840 sayılı Resmî Gazete’de iki temel tebliğ yayımlamıştır: III-35/B.1 sayılı Kuruluş ve Faaliyet Esasları Hakkında Tebliğ ile III-35/B.2 sayılı Çalışma Usul ve Esasları ile Sermaye Yeterliliği Hakkında Tebliğ. Bilgi sistemleri denetimi ve yönetimine ilişkin tamamlayıcı tebliğler de aynı çerçevede düzenlenmiştir.

KVHS’ler ayrıca 5549 sayılı Suç Gelirlerinin Aklanmasının Önlenmesi Hakkında Kanun kapsamında MASAK denetimine (kara para aklama ve terörün finansmanıyla mücadele) tabidir. Böylece kripto sektörü, finansal istihbarat ağının entegre bir parçası hâline gelmiştir.

KVHS Nedir, Hangi Faaliyetleri Kapsar?

Kripto varlık hizmet sağlayıcısı; kripto varlıkların alım-satımına, ilk satış veya dağıtımına aracılık eden platformlar ile bu varlıkların saklanması (custody) hizmetini sunan kuruluşları ifade eder.

Tebliğler; KVHS’lerin kuruluşunu, faaliyet izni süreçlerini, kurucu ve ortak niteliklerini, yönetim ilkelerini, bilgi sistemleri ve teknolojik altyapısını, dışarıdan hizmet alımını, yapamayacakları iş ve işlemleri, belge ve kayıt düzenini, kripto varlıkların listelenmesini ve mutabakat sistemini ayrıntılı biçimde düzenler.

Müşteri nakitlerinin alınması ve saklanması, sosyal medya üzerinden emir alınması ve listeleme gibi konularda geçiş öncesi görülen uygulama farklılıkları, yeni düzenlemeyle standart bir çerçeveye bağlanmıştır.

Kimleri Etkiler?

Hâlihazırda faaliyet gösteren kripto para borsalarını ve yeni kurulmak isteyen girişimleri.

Saklama (custody) hizmeti veren kuruluşları ve kripto varlıklara ilişkin finansal analiz/genel tavsiye sunan aktörleri.

Düzenleme kapsamına giren kuruluşların 30 Haziran 2025 tarihi itibarıyla yeni esaslara uyum sağlaması beklenmektedir; faaliyet izni başvurusu yapılan tarihteki sermaye yeterliliği şartları esas alınır.

Faaliyet İzni ve Sermaye Şartları

Faaliyete başlamadan önce SPK’dan faaliyet izni alınması gerekir; izin süreci kuruluş, ortaklık yapısı ve organizasyonun uygunluğunun denetlenmesini içerir.

Platformlar için yüksek bir asgari sermaye eşiği öngörülmüştür (kamuoyuna yansıyan tutar 150 milyon TL düzeyindedir; kesin rakam ve güncel hâli için ilgili SPK tebliği esas alınmalıdır).

Kurucu ve ortakların nitelikleri, yöneticilerin mesleki uygunluğu, bilgi sistemleri kurulumu ve bağımsız denetim yükümlülükleri sağlanmalıdır.

MASAK uyum programının oluşturulması, uyum görevlisi atanması, müşterini tanı (KYC) süreçleri, şüpheli işlem bildirimi ve belge/kayıt saklama yükümlülükleri yerine getirilmelidir.

Bilgi sistemlerinin bağımsız denetimi ve yönetimine ilişkin tebliğ hükümleri kapsamında, denetim raporları yetkili denetçilerce hazırlanır ve yönetim kuruluna sunulur.

Müşteri Varlıklarının Korunması ve Hukuki Riskler

Yeni düzenlemeyle müşterilere ait nakit ve kripto varlıklar, KVHS’nin malvarlığından ayrı tutulur; sağlayıcının borçları nedeniyle haczedilemez, rehnedilemez ve iflas masasına dâhil edilemez. Bu, müşteri korumasını önemli ölçüde güçlendiren bir hükümdür.

Saklanan kripto varlıklara ilişkin yılın üçüncü, altıncı, dokuzuncu ve on ikinci ay sonları itibarıyla rezerv kanıt denetimi öngörülmüştür.

İzin almaksızın faaliyet gösterilmesi veya tebliğ yükümlülüklerine aykırılık; idari para cezası, faaliyet durdurma ve cezai sorumluluk dâhil ağır yaptırımlara yol açar.

Kripto varlıklara ilişkin vergisel düzenlemeler ayrıca takip edilmesi gereken, gelişen bir alandır.

Sonuç ve Tavsiye

Türkiye’de kripto varlık sektörü, denetimsiz büyüme döneminden finansal kuruluş statüsünün gerektirdiği kurumsal ciddiyet aşamasına geçmiştir.

Faaliyet izni, sermaye yeterliliği, bilgi sistemleri ve MASAK uyumunun eşzamanlı yürütülmesi kritiktir. Bu yükümlülükler yalnızca bir kâğıt işi değil; teknolojik entegrasyon ve sürekli uyum gerektiren karmaşık bir süreçtir.

Başvuru ve denetim risklerini azaltmak için sürecin en başında sermaye piyasası ve bilişim hukuku alanında uzman hukuki destek alınması önerilir.

Yasal Çerçeve: Kuralsız Alandan Denetimli Alana

Türkiye’de kripto varlıkları doğrudan düzenleyen ilk kanun, 2 Temmuz 2024 tarihli Resmî Gazete’de yayımlanan 7518 sayılı Sermaye Piyasası Kanununda Değişiklik Yapılmasına Dair Kanundur.

Bu düzenleme üç temel yenilik getirmiştir:

• Kripto varlık hizmet sağlayıcıları Sermaye Piyasası Kurulu iznine bağlandı.
• İzinsiz faaliyet, hapis cezası gerektiren bir suça dönüştürüldü.
• Müşteri varlıklarını kuruluşun kendi malvarlığından ayıran koruma kuralları yürürlüğe girdi.

Takvimin okunma biçimi önemlidir: Kanun çerçeveyi kurmuş, asıl yükümlülükler ikincil düzenlemelerle somutlaşmıştır. Bu nedenle uyum değerlendirmesi yapılırken yalnızca kanun metnine bakmak yetmez; yürürlükteki tebliğler ve Kurul kararları birlikte incelenmelidir.

Sermaye piyasası mevzuatının genel çerçevesi için Sermaye Piyasası Hukuku Rehberimiz.

Kim Kripto Varlık Hizmet Sağlayıcı Sayılır?

Kapsam, sanılandan geniştir. Kanun üç ayrı kavramı tanımlamış ve hepsini izin rejimine bağlamıştır.

Kapsamın genişliğini gösteren iki ayrıntı:

• Platform tanımında «bir veya daha fazlası» ifadesi kullanılmıştır. Yani sayılan işlemlerin tamamını yapmak gerekmez; yalnızca transfer veya yalnızca takas hizmeti sunmak da kapsama girebilir.
• Saklama tanımı özel anahtarları da kapsar. Varlığın kendisini değil, transfer hakkı sağlayan anahtarı elinde tutmak da saklama hizmetidir. Cüzdan hizmeti sunan yapılar bu nedenle kapsam dışında sayılamaz.

Ayrıca «belirlenmiş diğer kuruluşlar» ifadesiyle kapsamın ikincil düzenlemelerle genişletilebilmesine imkân tanınmıştır. Yeni bir iş modeli kurulurken kapsam dışında kalındığı varsayımıyla hareket etmek risklidir.

Faaliyet İzni ve Kuruluş Şartları

Kripto varlık hizmet sağlayıcıların kurulması ve faaliyete başlaması Kurul iznine tabidir. İzin, tek aşamalı bir onay değil; süreklilik taşıyan bir uyum ilişkisidir.

• Bilgi sistemleri ve teknolojik altyapıda TÜBİTAK kriterlerine uygunluk aranır. Bu, kanun düzeyinde öngörülmüş teknik bir şarttır.
• Asgari sermaye şartı vardır. Platform ve saklama hizmeti bakımından öngörülen tutarlar ikincil düzenlemelerde belirlenmiş olup, başvuru öncesinde yürürlükteki güncel tutarın Kurul düzenlemelerinden teyit edilmesi gerekir.
• Bilgi güvenliği ve bağımsız denetim yükümlülükleri uyum sürecinin ayrılmaz parçasıdır.
• İzin sonrası da denetim sürer; Kurul denetim yapma, yaptırım uygulama ve ikincil düzenleme çıkarma yetkisine sahiptir.
• Kurul, piyasa düzenini bozucu faaliyetlere karşı re’sen tedbir alabilir.

Benzer nitelikteki izin ve lisans rejimlerinde izlenen yol için elektrik lisans iptali ve doğalgaz lisans iptali yazılarımız karşılaştırma imkânı verir.

Ortaklık ve Yönetici Filtresi

Kanun, kuruluşun arkasındaki kişiler bakımından da ağır bir süzgeç kurmuştur.

Dolandırıcılık, zimmet, sahtecilik veya suçtan kaynaklanan malvarlığı değerlerini aklama suçlarından hüküm giymiş bir kişi, kripto varlık hizmet sağlayıcıya ortak olamaz.

• Bu bir sicil taramasıdır. Ortaklık yapısındaki gerçek kişilerin adlî sicil durumu başvuru öncesinde denetlenmelidir.
• Sonradan doğan mahkûmiyet de sorun yaratır. Ortağın durumundaki değişiklik kuruluşun izin şartlarını etkileyebilir.
• Dolaylı ortaklık yapıları bu filtreyi aşmak için kullanılamaz; gerçek faydalanıcının tespiti mevzuatın kendi araçlarıyla yürütülür.

Sayılan suçların çerçevesi için dolandırıcılık suçu ve Ceza Hukuku Rehberimiz.

Pay Devri de İzne Tabi — İzinsiz Devir Hükümsüz

Bu, ticari hayatta en çok sürprize yol açan hükümdür.

Pay devirleri dahi Kurul iznine bağlıdır. Daha da önemlisi: izinsiz devirler pay defterine kaydedilemez ve hükümsüzdür.

Bunun pratik sonuçları ağırdır:

• Devir sözleşmesi imzalanmış ve bedel ödenmiş olsa dahi hukukî sonuç doğmaz.
• Ortaklık sıfatı kazanılmaz; genel kurulda kullanılan oy ve alınan kararlar tartışmalı hâle gelir.
• Bedelin iadesi ayrı bir uyuşmazlık doğurur ve taraflar arasında uzun bir dava süreci başlar.
• Hisse rehni, opsiyon ve benzeri yapılarda da izin boyutu baştan değerlendirilmelidir.

Uygulama tavsiyesi: Bu tür şirketlerde pay devri planlanıyorsa, sözleşme Kurul iznine bağlı şart olarak kurgulanmalı; ödeme ve devir anı izin alınmasına bağlanmalıdır.

Müşteri Varlıklarının Ayrıştırılması

Düzenlemenin yatırımcıyı doğrudan ilgilendiren çekirdeği budur.

Kripto varlık saklama hizmeti sunan kuruluşlar, müşteri varlıklarını kendi varlıklarından ayrı tutmak zorundadır. Ayrıştırma, kuruluşun mali sıkıntıya düşmesi hâlinde müşteri varlıklarının karışmamasını amaçlar.

• Kayıtsal ayrım yeterli değildir; saklama yapısının fiilen ayrıştırılmış olması beklenir.
• Saklama sözleşmesi zorunluluğu bu yapının belgeye bağlanmasını sağlar.
• Siber saldırı sonucu müşteri varlıklarının kaybedilmesi hâlinde saklama hizmeti sağlayıcısının tazminat yükümlülüğü doğar.
• Kurul, her bir kripto varlık için veya bunların dayandığı teknolojik özellikler ya da nitelik ve nicelikleri kapsamında saklama konusunda ayrı esaslar belirlemeye yetkilidir.

En Kritik Uyarı: Mevduat Sigortası Yoktur

Yatırımcıların en yaygın yanılgısı, kripto varlıkların bankadaki mevduat gibi güvence altında olduğunu sanmaktır.

Kanunun ifadesi açıktır: Bankalar nezdinde saklanan kripto varlıklar ile müşterilere ait bu kapsamdaki nakitler, mevduat ve katılım fonunun sigortalanmasına ilişkin hükümlere tabi değildir.

Bunun anlamı:

• Devlet güvencesi yoktur. Kuruluşun ödeme güçlüğüne düşmesi hâlinde mevduat sigortası devreye girmez.
• Koruma, ayrıştırma yükümlülüğünden gelir. Yani güvence sigortadan değil, varlıkların ayrı tutulmuş olmasından doğar.
• «Bankada saklanıyor» ifadesi sigorta anlamına gelmez. Bu ayrımı pazarlama metinlerinde bulanıklaştıran anlatımlara dikkat edin.

Yatırımcı için sonuç: Risk değerlendirmesi yapılırken güvence beklentisi gerçekçi tutulmalı; varlıkların bir bölümünün doğrudan kendi kontrolünüzdeki cüzdanda tutulup tutulmayacağı ayrıca değerlendirilmelidir.

Teknik Altyapı ve Yurt İçi Sistem Zorunluluğu

İkincil düzenlemelerle getirilen en somut yapısal yükümlülüklerden biri, sistemlerin konumlandırılmasına ilişkindir.

• Birincil ve ikincil sistemlerin yurt içinde bulundurulması zorunludur. Uyum için tanınan geçiş süresi 31 Aralık 2025 tarihinde sona ermiştir; yükümlülük artık sürekli niteliktedir.
• Bilgi sistemleri yönetimi ayrı bir tebliğ konusudur ve denetime tabidir.
• TÜBİTAK kriterlerine uygunluk kanun düzeyinde aranan bir şarttır.
• Bu yükümlülükler denetimde önceliklidir; teknik uyumsuzluk, faaliyet iznini doğrudan etkileyebilecek bir eksiklik olarak değerlendirilir.

Yatırımcı açısından da anlamı vardır: Sistemlerin yurt içinde bulunması, uyuşmazlık hâlinde delil temini ve tedbir uygulanabilirliği bakımından fark yaratır.

İzinsiz Faaliyet: Ayrı Bir Suç

Düzenlemenin en sert ayağı budur ve yalnızca idari bir yaptırım değildir.

İzinsiz kripto varlık hizmet sağlayıcılığı faaliyetinde bulunmak suç oluşturur ve hapis cezası öngörülmüştür. Cezanın alt ve üst sınırları ile adlî para cezası, fiil tarihinde yürürlükte olan metne göre belirlenir.

• Yurt dışından Türkiye’ye yönelik faaliyet de değerlendirme konusudur; Türkçe arayüz, Türkiye’ye yönelik tanıtım ve yerel ödeme yöntemleri sunulması, faaliyetin yöneldiği yer bakımından emare oluşturur.
• Aracılık ve tanıtım faaliyetleri de sorumluluk doğurabilir; izinsiz bir kuruluşa müşteri yönlendiren yapılar bakımından ayrıca değerlendirme yapılır.
• Yatırımcı bakımından sonuç: İzinsiz bir kuruluşta bulunan varlıklar, mevzuatın öngördüğü koruma mekanizmalarından yararlanamaz.

Bu tür kuruluşlarda yaşanan mağduriyetlerde izlenecek yol için kripto dolandırıcılığı mağdur rehberimiz ve IBAN mağdurları rehberi. Ortada gerçek bir yatırım ilişkisi mi yoksa aldatma mı bulunduğunun ayrımı için hukukî uyuşmazlık mı, dolandırıcılık mı.

Manipülasyon ve Piyasa Bozucu Eylemler

Platform içindeki işlemler de başıboş değildir.

• Platform içindeki manipülatif işlemler, sermaye piyasası mevzuatındaki piyasa bozucu eylem yaptırımları kapsamında değerlendirilir.
• Yapay işlem hacmi oluşturma, eşleşmeli emirler ve fiyatı yönlendirmeye dönük davranışlar bu kapsamda ele alınabilir.
• Kurul re’sen tedbir alabilir; işlem sınırlaması ve benzeri önlemler gündeme gelebilir.
• Kurul ayrıca kripto varlıkların sınıflandırılması ve hangilerinin menkul kıymet sayılacağı konusunda düzenleyici çerçeveyi belirler. Bir varlığın menkul kıymet sayılması, ihraç ve işlem rejimini tümüyle değiştirir.

Manipülasyon iddialarında ceza yargılaması boyutu için manipülasyon ve ceza yargılaması.

Kimlik Tespiti ve Aklama Mevzuatı

• Platformlar müşteri kimliklerini tespit etmekle yükümlüdür. Kimlik tespiti yapılmadan işlem yapılabilen dönem hukuken kapanmıştır.
• Şüpheli işlem bildirimi yükümlülüğü bulunur; bu bildirimler blokaj süreçlerinin başlangıcını oluşturabilir.
• Yükümlülüklere aykırılık hâlinde ağır idari para cezaları uygulanır.
• Kullanıcı açısından sonuç: Başkasının hesabını kullanmak veya hesabını kullandırmak, hem platform kurallarına hem ceza mevzuatına aykırılık oluşturur.

Yatırımcı İçin: Platform Seçerken

Düzenleme, yatırımcıya doğrudan bir güvence vermez; ancak kontrol edilebilir ölçütler sunar.

Ek olarak saklayın: Hesap açılış belgeleri, işlem dökümleri ve platform yazışmaları. Bir uyuşmazlıkta bunlar tek dayanağınızdır ve platforma erişiminiz kesilirse sonradan temin edilemez.

Kuruluş Ödeme Güçlüğüne Düşerse veya Hacklenirse

Bu senaryoda hangi mekanizmanın işleyeceği, kuruluşun izinli olup olmadığına ve saklama yapısına bağlıdır.

• Ayrıştırma yükümlülüğü esas korumadır. Müşteri varlıkları kuruluşun kendi malvarlığından ayrı tutulmuşsa, alacaklıların bu varlıklara yönelmesi tartışmalı hâle gelir.
• Siber saldırı hâlinde tazminat yükümlülüğü doğar; saklama hizmeti sağlayıcısının sorumluluğu bu noktada gündeme gelir.
• Mevduat sigortası devreye girmez. Bu, tekrar vurgulanmayı hak eden bir sınırdır.
• İzinsiz kuruluşlarda bu mekanizmaların hiçbiri güvenilir biçimde işlemez; süreç doğrudan ceza soruşturması ve alacak takibi eksenine kayar.
• Derhâl yapılması gerekenler: işlem dökümlerini indirin, yazışmaları arşivleyin, bildirim ve şikâyet yollarını aynı anda işletin.

İdari Yaptırımlara Karşı Dava Yolu

Kuruluşlar bakımından Kurul kararları ve idari para cezaları yargısal denetime tabidir.

• Kurul işlemleri idari işlem niteliğindedir ve iptal davasına konu olur — iptal davası ve yürütmenin durdurulması.
• Yürütmenin durdurulmasını mutlaka talep edin; faaliyet kısıtlaması söz konusuysa sonradan alınacak iptal kararı fiilî zararı gidermez.
• Süreleri kaçırmayın — idari davalarda dava açma süreleri.
• Denetimin sınırını bilin: Yargı, hukuka uygunluk denetimi yapar; yerindelik denetimi yapamaz — takdir yetkisi ve yargısal denetim.
• Ceza boyutu ayrı yürür; idari süreçle ceza soruşturması birbirinden bağımsızdır ve sıfatınız her ikisinde farklı olabilir — taraf kavramları.

Kamu düzenlemelerine aykırılık hâlinde uygulanan benzeri yasaklama ve yaptırım rejimlerinin işleyişi için ihalede yasak fiiller ve yasaklama, idari denetimin genel çerçevesi için İdare Hukuku Rehberimiz.

Sıkça Sorulan Sorular

Kripto varlıklar Türkiye’de ne zaman düzenlendi?

Doğrudan düzenleyen ilk kanun, 2 Temmuz 2024 tarihli Resmî Gazete’de yayımlanan 7518 sayılı Kanun’dur. Bu düzenlemeyle Sermaye Piyasası Kanunu’na 35/B ve 35/C maddeleri eklenmiştir.

Kripto varlık hizmet sağlayıcı olmak izne tabi mi?

Evet. Kripto varlık hizmet sağlayıcıların kurulması ve faaliyete başlaması Sermaye Piyasası Kurulu iznine tabidir. Bilgi sistemleri ve teknolojik altyapıda TÜBİTAK kriterlerine uygunluk aranır.

Kimler kripto varlık hizmet sağlayıcı sayılır?

Platformlar, kripto varlık saklama hizmeti sağlayan kuruluşlar ve ilk satış ya da dağıtım dâhil kripto varlıklarla ilgili hizmet sağlamak üzere belirlenmiş diğer kuruluşlar bu kapsamdadır.

Sadece transfer hizmeti veriyorum, kapsama girer miyim?

Platform tanımı alım satım, ilk satış ya da dağıtım, takas, transfer ve bunların gerektirdiği saklama işlemlerinin bir veya daha fazlasının gerçekleştirildiği kuruluşları kapsar. Sayılan işlemlerin tamamını yapmak gerekmez.

Cüzdan hizmeti saklama sayılır mı?

Saklama hizmeti, müşterilerin kripto varlıklarının veya bu varlıklara ilişkin cüzdandan transfer hakkı sağlayan özel anahtarların saklanmasını ve yönetimini kapsar. Bu nedenle anahtarı elinde tutan yapılar kapsam dışında sayılamaz.

Ortaklarda hangi şartlar aranır?

Dolandırıcılık, zimmet, sahtecilik veya suçtan kaynaklanan malvarlığı değerlerini aklama suçlarından hüküm giymiş bir kişi kripto varlık hizmet sağlayıcıya ortak olamaz.

Şirketin payını devredebilir miyim?

Pay devirleri Kurul iznine bağlıdır. İzinsiz devirler pay defterine kaydedilemez ve hükümsüzdür; bu nedenle devir sözleşmesi izin şartına bağlı olarak kurgulanmalıdır.

Müşteri varlıkları nasıl korunuyor?

Saklama hizmeti sunan kuruluşlar müşteri varlıklarını kendi varlıklarından ayrı tutmak zorundadır. Ayrıca Kurul, her bir kripto varlık için veya teknolojik özellikleri kapsamında saklama konusunda ayrı esaslar belirlemeye yetkilidir.

Kripto varlıklarım mevduat sigortası kapsamında mı?

Hayır. Bankalar nezdinde saklanan kripto varlıklar ile müşterilere ait bu kapsamdaki nakitler, mevduat ve katılım fonunun sigortalanmasına ilişkin hükümlere tabi değildir. Koruma sigortadan değil, varlıkların ayrı tutulması yükümlülüğünden doğar.

Platform hacklenirse ne olur?

Saklama hizmeti sağlayıcısının siber saldırı sonucu müşteri varlıklarını kaybetmesi hâlinde tazminat yükümlülüğü doğar. Mevduat sigortası ise devreye girmez.

Sistemlerin yurt içinde olması zorunlu mu?

Evet. Birincil ve ikincil sistemlerin yurt içinde bulundurulması yükümlülüğü öngörülmüş olup, uyum için tanınan geçiş süresi 31 Aralık 2025 tarihinde sona ermiştir.

İzinsiz faaliyetin yaptırımı nedir?

İzinsiz kripto varlık hizmet sağlayıcılığı faaliyeti suç oluşturur ve hapis cezası öngörülmüştür. Cezanın sınırları fiil tarihinde yürürlükte olan metne göre belirlenir.

Yurt dışındaki bir platform Türkiye’de faaliyet sayılır mı?

Türkçe arayüz, Türkiye’ye yönelik tanıtım ve yerel ödeme yöntemleri sunulması, faaliyetin yöneldiği yer bakımından emare oluşturabilir. Bu durum ayrıca değerlendirilir.

Platform içindeki manipülatif işlemler nasıl değerlendirilir?

Sermaye piyasası mevzuatındaki piyasa bozucu eylem yaptırımları kapsamında ele alınır. Kurul ayrıca piyasa düzenini bozucu faaliyetlere karşı re’sen tedbir alabilir.

Kurul kararına karşı dava açabilir miyim?

Evet. Kurul işlemleri idari işlem niteliğinde olup iptal davasına konu olur. Yürütmenin durdurulması mutlaka talep edilmeli ve dava açma süreleri kaçırılmamalıdır.