Kripto varlık soruşturmalarının büyük kısmı bir arama ya da elkoymayla değil, platforma gönderilen bir yazıyla başlar: “Aşağıda bilgileri yazılı hesabın kimlik, işlem ve erişim kayıtlarının gönderilmesi rica olunur.” Bu yazı, hesap sahibinin haberi olmadan gider ve gelir; dosyadaki ilk somut belge çoğu zaman platformun cevabıdır. 25 Aralık 2025’ten bu yana bu yazının yasal bir süresi ve yaptırımı var: CMK 128/A’nın yedinci fıkrası, savcı, hâkim veya mahkemenin banka, ödeme hizmeti sağlayıcısı ya da kripto varlık hizmet sağlayıcısından istediği bilgi ve belgenin on gün içinde gönderilmesini zorunlu kılıyor; göndermeyen kuruma elli bin ile üç yüz bin lira arasında idari para cezası öngörüyor. Bu yazı, savcılığın platformdan neyi, hangi dayanakla ve hangi sürede isteyebileceğini, platformun neyi veremeyeceğini, yurt dışı platformlar için yolun nasıl uzadığını ve savunmanın bu verileri nasıl okuması gerektiğini anlatıyor. Soruşturmanın bütününü kripto varlık soruşturması rehberinde, malvarlığına yönelen tedbirleri CMK 128 yazısında ele aldık.
Üç dayanak, üç süre
Savcılığın bilgi isteme yetkisi tek bir maddeden çıkmaz. CMK 332, suçların soruşturma ve kovuşturması sırasında savcı, hâkim veya mahkeme tarafından yazılı olarak istenen bilgilere on gün içinde cevap verilmesini zorunlu kılar ve yazıya, aykırı davranmanın TCK 257 kapsamında görevi kötüye kullanma oluşturabileceğinin yazılmasını ister. Bu hüküm kamu kurumları için yazılmış olsa da uygulamada özel kuruluşlara da uygulanır. 128/A-7 ise 2025’te tam bu belirsizliği gidermek için eklendi: banka, ödeme kuruluşu ve kripto varlık hizmet sağlayıcısı, adli makamın istediği bilgi ve belgeyi on gün içinde fiziki ya da elektronik ortamda göndermek zorundadır; eksik ya da hiç göndermeyen kuruma savcı doğrudan idari para cezası verir. Üçüncü dayanak 5549 sayılı Kanun’un 7. maddesidir: MASAK, yükümlülerden her türlü bilgi ve belgeyi isteyebilir; kripto varlık hizmet sağlayıcıları 2021’den bu yana yükümlüdür ve 8. madde uyarınca kayıtlarını sekiz yıl saklamak zorundadır.
Bu üç dayanağın pratik sonucu şudur: Türkiye’de faaliyet gösteren bir platform, adli makamın yazısına on gün içinde cevap verir ve cevabı sekiz yıl geriye kadar uzanabilir. “Platform kayıt tutmuyor” ya da “eski işlemler silindi” savunması, lisanslı platformlar bakımından geçerli değildir.
Platformdan hangi veriler istenir
SPK’nın III-35/B.1 ve III-35/B.2 sayılı Tebliğleri ile MASAK’ın Tedbirler Yönetmeliği, platformların hangi kayıtları tutmak zorunda olduğunu belirler. Adli makamın isteyebileceği veri, platformun tutmak zorunda olduğu veriyle sınırlıdır; platform, tutmadığı veriyi üretemez. Aşağıdaki tablo, bir kripto dosyasında platformdan istenen kayıtların tipik listesidir.
| Veri | İçeriği | Platformun tutma yükümlülüğü | Dosyadaki işlevi |
|---|---|---|---|
| Kimlik ve KYC | Ad, kimlik numarası, doğum tarihi, adres, telefon, e-posta, kimlik belgesi görüntüsü, uzaktan kimlik tespiti kaydı | Tedbirler Yönetmeliği; MASAK Genel Tebliği Sıra No: 28 | Hesabın kime ait olduğu |
| Hesap açılış ve durum bilgisi | Açılış tarihi, doğrulama seviyesi, kısıt geçmişi, kapatma kaydı | SPK III-35/B.2 | Hesabın kullanım süresi ve önceki kısıtlar |
| İşlem geçmişi | Alım-satım emirleri, eşleşmeler, komisyonlar, tarih ve saat damgaları | SPK III-35/B.2; 5549 m. 8 | Varlığın nasıl edinildiği ve dönüştürüldüğü |
| Yatırma ve çekim kayıtları | TL yatırma ve çekimlerinde IBAN; kripto yatırma ve çekimlerinde adres, ağ, işlem kimliği, tutar | SPK III-35/B.2; Yönetmelik m. 24/A (seyahat kuralı) | Zincir ile banka arasındaki köprü; fon kaynağı |
| Erişim kayıtları | Giriş tarih ve saatleri, IP adresleri, cihaz tanımlayıcıları, tarayıcı ve uygulama bilgisi | SPK III-35/B.2 bilgi sistemleri yükümlülükleri | Hesabı fiilen kimin kullandığı; hesap ele geçirme savunması |
| P2P kayıtları | Emir numarası, karşı taraf, ödeme yöntemi, emanet süreci, itiraz kayıtları, yazışmalar | Platformun kendi kayıtları | Üçüncü kişi ödemesi ve iyiniyet |
| Uyum kayıtları | Risk değerlendirmesi, fon kaynağı talepleri ve cevapları, şüpheli işlem bildiriminin dayanağı | 5549 m. 4, 8 | Platformun şüphesinin gerekçesi |
| Banka eşleştirmesi | Hesaba bağlı banka hesapları ve doğrulama kayıtları | SPK III-35/B.2 (müşteri adına hesap eşleştirmesi) | Üçüncü kişi hesabından yatırma tespiti |
Bu listede olmayan bir şey vardır: özel anahtar. Platform, müşterilerin varlıklarını toplu cüzdanlarda ve SPK lisanslı saklama kuruluşunda tutar; müşteriye ait ayrı bir özel anahtar yoktur. Adli makam platformdan anahtar isteyemez; isteyebileceği şey, hesabın kilitlenmesi (CMK 128) ve varlığın makamın belirlediği adrese aktarılmasıdır. Kişisel cüzdanlar ve merkeziyetsiz protokoller ise bu yazının kapsamı dışındadır; onlarda “bilgi istenecek” bir muhatap yoktur ve tedbir ancak anahtara erişimle uygulanabilir.
Hesap sahibine haber verilir mi?
Bilgi talebi, hesap sahibine bildirilmez; platformun bunu bildirmesi de beklenmez. 5549 m. 4/2, şüpheli işlem bildiriminin ilgiliye açıklanmasını yasaklar ve bu yasak uygulamada adli talepleri de kapsayacak biçimde yorumlanır. Hesap sahibi, dosyanın varlığını ya ifadeye çağrıldığında ya hesabı kısıtlandığında ya da UYAP’ta şüpheli kaydını gördüğünde öğrenir. Bu yüzden hesabında beklenmedik bir kısıt gören kişinin ilk yapması gereken, kısıtın dayanağını platformdan yazılı olarak istemek ve UYAP’tan dosya sorgulamaktır; bu adımları bloke sorgulama yazısında anlattık.
Bilgi talebinin gönderilmiş olması, hesap sahibinin şüpheli olduğu anlamına gelmez. Dosya bir mağdurun şikâyetiyle açılmış olabilir ve talep, mağdurun gönderdiği varlığın hangi hesaba gittiğini bulmak için yazılmış olabilir; hesap sahibi bir P2P satıcısı, bir aracı hesap ya da tanık konumunda olabilir. Aynı hesabın mağdur, tanık ve şüpheli sıfatlarını nasıl aynı anda taşıyabildiğini aracı hesap şüphesi yazısında anlattık.
Yurt dışı platform: rica, portal ve adli yardımlaşma
Türk savcılığının yazısı, yurt dışında yerleşik bir platform için bağlayıcı değildir; 128/A-7’nin on günlük süresi ve idari para cezası, Türkiye’de faaliyet izni bulunan kuruluşlar için işler. Yurt dışı platformlardan bilgi almanın üç yolu vardır ve her birinin hızı farklıdır. En hızlısı, büyük platformların kolluk için kurduğu talep portallarıdır; Binance, OKX, Bybit ve benzeri platformlar, yetkili makamlardan gelen talepleri kendi politikalarına göre değerlendirir ve çoğu zaman kimlik ile işlem bilgilerini paylaşır; ancak bu bir rica ilişkisidir ve platform reddedebilir. İkincisi, Türkiye’nin tarafı olduğu Siber Suç Sözleşmesi’nin (Budapeşte Sözleşmesi) hızlı koruma ve ifşa mekanizmalarıdır; verinin silinmeden korunması için 7/24 irtibat noktaları üzerinden talep iletilebilir. Üçüncüsü, 6706 sayılı Cezai Konularda Uluslararası Adli İş Birliği Kanunu çerçevesindeki resmî adli yardımlaşma talebidir; bağlayıcıdır ama aylar sürer.
Bu üç yolun kripto dosyasındaki karşılığı, sürenin belirleyici olmasıdır. Varlık bir yurt dışı platforma ulaştıysa, önce koruma ve dondurma talebi, sonra bilgi talebi iletilir; sıra tersine çevrildiğinde bilgi geldiğinde varlık çoktan hareket etmiş olur. Bu sıralamayı ve “choke point” kavramını uluslararası dondurma ve iade yazısında, Binance özelinde işleyişi Binance hesap blokesi yazısında anlattık. 7518 sayılı Kanun’la yurt dışı platformların Türkiye’de yerleşik kişilere yönelik faaliyeti izinsiz sayılmış olsa da, bu platformların adli taleplere cevap verme pratiği devam etmektedir; izinsizlik, verinin hukuka aykırı elde edildiği anlamına gelmez.
Kişisel veri boyutu: KVKK istisnası ve saklama sorunu
Platformun adli makama veri aktarması, KVKK’nın 28/1-d maddesindeki istisna kapsamındadır: kişisel verilerin soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından işlenmesi kanunun kapsamı dışındadır. Platformun aktarımı, yargı makamının talebine dayandığı ölçüde hukuka uygundur; platform, talebi aşan veri gönderirse (istenmeyen dönemler, ilgisiz hesaplar) bu fazlalık için sorumluluk doğabilir. Savunma, platformun cevabında talep yazısıyla cevabın kapsamını karşılaştırır; talebi aşan verinin dosyadan çıkarılmasını ister.
Aktarılan verinin dosyada ne kadar süreyle saklanacağı ise Türk hukukunun boşluğudur. Anayasa Mahkemesi, 12.2.2026 tarihli ve E. 2023/128, K. 2026/36 sayılı kararıyla CMK 134’ün bazı bölümlerini, elde edilen kişisel verilerin yargılama sonrasında saklanması ve silinmesine ilişkin güvence bulunmadığı gerekçesiyle iptal etti; iptal hükmü yayımından dokuz ay sonra yürürlüğe girecek. Karar 134 hakkında verilmiş olsa da gerekçesi, platformdan istenen verilere de uygulanabilir: dosyaya giren kimlik, işlem ve erişim kayıtlarının kesinleşmeden sonra ne olacağı belirsizdir. Bu belirsizlik, savunmanın dosyada yazılı olarak talep edebileceği bir konudur: kararın kesinleşmesinden sonra platform verilerinin dosyadan ayrılması ya da erişiminin sınırlandırılması.
Savunma platform verisini nasıl okur
Platformun cevabı, dosyanın en teknik belgesidir ve genellikle savcılık tarafından bir özet hâlinde okunur: “Hesap şüpheliye aittir, mağdurun parası bu hesaba gelmiştir.” Savunma bu özeti değil, ham veriyi okur ve dört soruyu sorar. Hesap gerçekten müvekkile mi ait: KYC kaydı bir kimlik belgesine dayanır, ama hesabı kimin kullandığını göstermez; erişim kayıtlarındaki IP ve cihaz bilgileri, müvekkilin cihazlarıyla eşleşiyor mu? Paylaşımlı IP (operatörlerin taşıyıcı sınıfı NAT kullanımı) tek başına konum ya da kimlik göstermez; aynı IP’den yüzlerce kullanıcı çıkabilir. Mağdurun parası bu hesaba mı geldi: yatırma kaydındaki işlem kimliği ile mağdurun gönderdiği işlem kimliği aynı mı, yoksa aynı tutarda iki farklı işlem mi? Para geldikten sonra ne oldu: hesap sahibi parayı çekti mi, sattı mı, üçüncü kişiye gönderdi mi; bu hareket bir P2P satışının doğal sonucu mu? Platform verisi zincir verisiyle uyumlu mu: platformun bildirdiği çekim adresi ve işlem kimliği blok tarayıcısında aynı tutarı ve zamanı gösteriyor mu?
Bu dört soru, hesap ele geçirme savunmasının da temelidir. Hesabı başkası tarafından (SIM değişimi, oltalama, kötü amaçlı yazılım) ele geçirilmiş bir kullanıcı, kendi işlem yapmadığı hareketlerden sorumlu tutulamaz; ama bunu göstermenin yolu beyan değil, erişim kayıtlarındaki cihaz ve konum uyumsuzluğudur. SIM değişimi ve oltalama dosyalarını ayrı yazılarda ele aldık. Erişim kayıtları platformun cevabında yoksa, savunma bunların CMK 153 kapsamında dosyaya getirilmesini talep eder; talep reddedilirse eksik soruşturma itirazının konusu olur. Ham verinin nasıl doğrulandığını ve teknik raporun nasıl kurulduğunu teknik uzman raporu yazısında anlattık.
Temsili bir dosya: aynı IP’den iki şehir
Mağdurun 40.000 USDT’si bir platform hesabına yatırılmış, aynı gün çekilmiştir. Platform, savcılığın talebine on gün içinde cevap verir: hesap, kimlik belgesiyle danışan adına açılmıştır; çekim yapılmıştır; ekli erişim kayıtları. Savcılık özeti okur ve danışanı şüpheli sıfatıyla ifadeye çağırır. Müdafi ham veriyi ister ve erişim kayıtlarını satır satır okur: hesap iki yıl boyunca İzmir’den, tek bir cihazdan kullanılmış; mağdurun parasının geldiği gün ve önceki üç gün boyunca girişler farklı bir cihazdan ve İstanbul’daki bir operatör IP’sinden yapılmış; o günlerde e-posta ve telefon numarası değiştirilmiş; çekim yeni eklenen bir adrese gitmiştir. Danışanın telefon operatöründen alınan kayıtlar, o günlerde İzmir’de olduğunu gösterir. Dosya, hesap ele geçirme (SIM değişimi ve oltalama) yönünde genişler; danışan şüpheli sıfatından çıkar, platformun kimlik değişikliğini ek doğrulama olmadan kabul etmesi ayrı bir sorumluluk tartışmasına dönüşür. Platformun cevabındaki özet doğruydu: hesap danışanındı. Yanlış olan, özetin hesabı danışanın kullandığı anlamına geldiği varsayımıydı.
Platform neyi vermez, neyi veremez
Platformun cevabında üç sınır vardır. Yasal sınır: platform, talep yazısında istenmeyen hesapları ve dönemleri veremez; “şüpheliyle ilişkili tüm hesaplar” gibi genel bir talep, platformu kendi analizini yapmaya zorlar ve bu analiz delil değil yorumdur. Teknik sınır: platform, kendi sistemine girmeyen veriyi bilmez; müşterinin kişisel cüzdanına çektiği varlığın oradan nereye gittiğini platform göremez, bunu zincir analizi gösterir. Sözleşmesel sınır: yurt dışı platformlar, kendi hukuklarına göre bazı verileri (özellikle diğer kullanıcılara ait P2P karşı taraf bilgilerini) resmî adli yardımlaşma olmadan vermez. Savunma bu sınırları bilerek, platform cevabında “yok” görünen her verinin gerçekten yokluğunu mu yoksa istenmemiş olmasını mı gösterdiğini ayırt eder.
Bilgi talebi hakkında sorulanlar
Savcılık kripto borsasından bilgilerimi isteyebilir mi?
Evet. CMK 332 ve 128/A-7 uyarınca savcı, hâkim ve mahkeme, Türkiye’de faaliyet gösteren kripto varlık hizmet sağlayıcısından bilgi ve belge isteyebilir; platform on gün içinde cevap vermek zorundadır.
Borsa bilgilerimi verdiğinde bana haber verir mi?
Hayır. Adli talepler ve şüpheli işlem bildirimleri hesap sahibine açıklanmaz. Dosyanın varlığı genellikle ifade çağrısı, hesap kısıtı ya da UYAP sorgusuyla öğrenilir.
Savcılık Binance’ten bilgi alabilir mi?
Alabilir, ama bağlayıcı bir yoldan değil: kolluk talep portalı üzerinden rica, Budapeşte Sözleşmesi kapsamında koruma talebi ya da 6706 sayılı Kanun çerçevesinde adli yardımlaşma. İlk yol hızlı ama platformun takdirinde, üçüncü yol bağlayıcı ama yavaştır.
Borsa IP adresimi ve cihaz bilgilerimi de verir mi?
Evet; erişim kayıtları platformların tutmak zorunda olduğu veriler arasındadır ve adli makam isteyebilir. Aynı kayıtlar, hesabın başkası tarafından kullanıldığını göstermek isteyen savunmanın da en önemli aracıdır.
Bilgi talebi gönderildiyse şüpheli miyim?
Zorunlu olarak hayır. Talep, mağdurun varlığının izini sürmek için de gönderilir; hesap sahibi tanık, aracı hesap ya da P2P satıcısı konumunda olabilir. Sıfat, dosyadaki kayıttan öğrenilir.
Borsa kaç yıl geriye dönük kayıt verir?
5549 sayılı Kanun m. 8 uyarınca yükümlüler kayıtlarını sekiz yıl saklar; adli makam bu süre içindeki kayıtları isteyebilir.
Dayanaklar
- 5271 sayılı CMK m. 128/A-7 (7571 sayılı Kanun, RG 25.12.2025, S. 33118), 153, 332; 5237 sayılı TCK m. 257; 5549 sayılı Kanun m. 4, 7, 8; 6698 sayılı KVKK m. 28/1-d; 6706 sayılı Cezai Konularda Uluslararası Adli İş Birliği Kanunu.
- Sanal Ortamda İşlenen Suçlar Sözleşmesi (Budapeşte Sözleşmesi; 6533 sayılı Kanun ile onaylanması uygun bulunmuştur).
- SPK III-35/B.1 ve III-35/B.2 sayılı Tebliğler (RG 13.3.2025, S. 32840); Tedbirler Yönetmeliği m. 24/A (9305 sayılı Cumhurbaşkanı Kararı, RG 25.12.2024); MASAK Genel Tebliği Sıra No: 28 (RG 12.6.2025).
- Anayasa Mahkemesi, E. 2023/128, K. 2026/36, 12.2.2026 (RG 25.5.2026).
