Cüzdan Kümeleme ve Kimliklendirme 2026: Kripto Adresler Nasıl Deşifre Edilir?

Bir kripto varlık soruşturmasında en sık duyulan cümle şudur: “Adres anonim, bulunamaz.” Bu cümle 2026 yılında teknik olarak yanlıştır; ancak onun yerine konulan “blok zinciri her şeyi ispatlar” cümlesi de aynı ölçüde yanlıştır. Gerçek, ikisinin arasında ve hukuken çok daha ilginç bir yerde durur: cüzdan kümeleme (wallet clustering), binlerce dağınık adresi tek bir denetim odağında toplayan, olasılığa dayalı bir çıkarım yöntemidir. Ürettiği sonuç bir ölçüm değil, bir tahmindir — ve bu tahmin, bugün hem küresel “kripto suç” istatistiklerini hem de ağır ceza mahkemelerindeki mahkûmiyet hükümlerini şekillendirmektedir.

Bu rehber, kümeleme sezgisellerinin nasıl çalıştığını mühendislik düzeyinde açıklar, her birinin yayımlanmış doğruluk ve hata oranlarını verir, yöntemin çöktüğü noktaları örnekleriyle gösterir ve — Türkçe kaynaklarda bulunmayan kısım — bu raporların Türk ceza muhakemesinde hangi süzgeçlerden geçmesi gerektiğini, Yargıtay Ceza Genel Kurulu ve Anayasa Mahkemesi kararlarıyla birlikte ortaya koyar. Metin, mağdur vekili kadar müdafi için de yazılmıştır: bir kümeleme raporunu okumayı bilen, onu çürütmeyi de bilir.

— Av. Ahmet Karaca

Öne çıkanlar

• Kümeleme, kriptografik bir ispat değil istatistiksel bir çıkarımdır; Satoshi Nakamoto 2008 tarihli teknik belgede çok girdili işlemlerin sahiplik sızdırdığını bizzat yazmıştır.
• Ortak girdi sezgiselinin gerçek cüzdanlara karşı ölçülmüş performansı %90,79 kesinlik ve %79,76 duyarlılık düzeyindedir (Nick, ETH Zürih, 2015) — yani her on bağlantıdan yaklaşık biri hatalıdır.
• Para üstü sezgiselinin denetimsiz uygulanması, akademik literatürde 223,9 milyon adreslik tek bir “süper küme” üretmiştir; kısıtlı birleştirme algoritmasıyla bu şişme %1596’dan %10’a indirilebilmiştir.
• CoinJoin işlemleri ortak girdi sezgiselinin klasik yanlış pozitif kaynağıdır: birbiriyle ilgisiz katılımcıları tek kümede birleştirir; PayJoin ise tam tersine alıcı ile satıcıyı yapıştırır.
• Bitfinex soruşturmasında 119.754 bitcoini çözen şey kümelemenin kendisi değil, kümelemenin daralttığı alanda bulunan 500 dolarlık bir hediye kartıydı.
• Amerikan federal mahkemesi United States v. Sterlingov kararında kümeleme yazılımının “yayımlanmış hata oranı bulunmadığını” tespit ettiği hâlde delili kabul etmiş; İngiliz Yüksek Mahkemesi D’Aloia davasında aynı yıl benzer bir analizi reddetmiştir.
• Türk hukukunda blok zinciri analizi raporunun denetimi, Yargıtay Ceza Genel Kurulu’nun E. 2025/94, K. 2025/227, 21.05.2025 tarihli kararındaki imaj–özet değer–müdafi huzuru standardına ve CMK m. 67/3’ün bilirkişiye getirdiği sınıra tâbidir.
• CMK m. 134, Anayasa Mahkemesi’nin E. 2023/128, K. 2026/36 sayılı kararıyla iptal edilmiş olup iptal 25.02.2027 tarihinde yürürlüğe girecektir; dijital delil rejiminde beş aylık bir yasama boşluğu görünmektedir.
• Anayasa Mahkemesi bireysel başvuru veri tabanında “kripto varlık” ibaresi geçen tek bir karar dahi bulunmamaktadır; yani Türkiye’de elkoyma yetkisi vardır, analitiğin güvenilirliğine dair yerleşik içtihat yoktur.

İçindekiler

• Cüzdan kümeleme nedir?
• Neden bir cüzdan adresi kimlik değildir?
• Kümeleme sezgiselleri: yöntemler ve ölçülmüş doğruluk payları
• Hesap tabanlı zincirlerde kümeleme: Ethereum, Tron, BSC
• Kümeleme nerede yanılır? Aşırı ve eksik kümeleme
• Kümelemeden kimliklendirmeye: adres kime ait?
• Gizlilik teknolojileri ve zincirler arası takip
• Makine öğrenmesi kümelemeyi kurtarır mı?
• Gerçek soruşturmalar: kümeleme neyi çözdü, neyi çözemedi?
• Karşılaştırmalı hukukta delil değeri: iki mahkeme, iki sonuç
• Türk hukukunda blok zinciri analizi raporunun delil değeri
• Savunma tarafı: bir kümeleme raporu nasıl denetlenir?
• Mağdur tarafı: ilk 72 saat ve sonrası
• Düzenleyici çerçeve: SPK, MASAK ve FATF
• Sıkça sorulan sorular
• Sonuç

Cüzdan kümeleme nedir?

Cüzdan kümeleme, aynı aktörün denetiminde olduğuna dair zincir üstü kanıt bulunan blok zinciri adreslerini tek bir analiz birimi hâlinde toplama işlemidir. Yöntem hiçbir kişisel veri kullanmaz; yalnızca işlemlerin yapısal ve davranışsal izlerine bakar. Çıktısı olan küme, tek bir cüzdan gibi davranan ve tek bir bütün olarak izlenebilen adres topluluğudur.

Kümeleme, kimlik tespitinin yalnızca ilk yarısıdır. Ortak sahipliği ortaya koyar, ama hiç kimseyi adıyla göstermez. İkinci yarı kimliklendirmedir (entity attribution): kümeye zincir dışı delille gerçek bir ad takılması. Bu iki aşamayı birbirine karıştırmak, uygulamada en sık rastlanan ve en pahalı hatadır: teknik raporda “küme” düzeyinde doğru olan bir tespit, “kişi” düzeyine taşındığında dayanaksız kalabilir.

Neden bir cüzdan adresi kimlik değildir?

Blok zinciri adresi bir takma addır, bir isim değil. Değerin hareket ettiğini kaydeder, o değeri kimin hareket ettirdiğini kaydetmez. Yeni bir adres üretmenin maliyeti sıfırdır ve tek bir kişi ya da kurum milyonlarca adresin arkasında durabilir. Bu nedenle suç örgütleri fonu sürekli yeni adreslere bölerek birbiriyle alakasız taraflar görüntüsü yaratmaya çalışır.

Kümelemenin yaptığı şey, analiz biriminin adresten denetime kaydırılmasıdır. Adres sayısını artırmak bu sayede bir savunma olmaktan çıkar: adresleri birbirine bağlayan davranış, üretilen her yeni adreste yeniden ortaya çıkar. Ancak burada kritik bir nüans vardır ve çoğu ticari rapor bunu görmezden gelir: “aynı denetim” ile “aynı kişi” aynı şey değildir. Bir borsanın sıcak cüzdanı da tek denetim altındadır; ancak arkasında yüz binlerce müşteri vardır. Küme büyüklüğü arttıkça kümenin bir gerçek kişiye karşılık gelme olasılığı azalır.

Kümeleme sezgiselleri: yöntemler ve ölçülmüş doğruluk payları

Sezgisel (heuristic), ortak denetime işaret ettiği kabul edilen, tekrarlanabilir davranış kalıbıdır. Uygulamada tek bir sezgisele dayanılmaz; birden fazla sezgiselin aynı yönü göstermesi aranır ve sonuç ikili bir iddia olarak değil, bir güven derecesi olarak kaydedilir. Aşağıda her sezgisel, mekanizması ve yayımlanmış performansıyla birlikte verilmiştir.

1. Ortak girdi sahipliği (co-spend) sezgiseli

UTXO mimarisine sahip zincirlerde (Bitcoin, Litecoin, Bitcoin Cash) bir işlem birden çok girdiyi harcayabilir. Her girdinin harcanabilmesi için o girdiye ait özel anahtarla imza üretilmesi gerekir. Dolayısıyla aynı işlemde birlikte harcanan adreslerin, imzayı atabilen tek bir aktörün denetiminde olduğu sonucuna varılır. Bu, kümelemenin temel taşıdır.

Zayıflık, yöntemin kendisi kadar eskidir. Nakamoto, 2008 tarihli Bitcoin teknik belgesinin gizlilik bölümünde çok girdili işlemlerin “girdilerin aynı sahibe ait olduğunu zorunlu olarak açığa vurduğunu” açıkça yazmıştır. Reid ve Harrigan 2011’de bunu bir çizge problemine çevirmiş, ortak girdi ilişkisini kenar kabul eden yardımcı bir ağ kurarak bağlı bileşenleri hesaplamıştır; bugün hâlâ kullanılan birleştir-bul (union-find) algoritması buradan gelir. Meiklejohn ve arkadaşlarının 2013 tarihli “A Fistful of Bitcoins” çalışması ise sezgiseli “Sezgisel 1” olarak formüle etmiş ve 12.056.684 adresi 5.577.481 kümeye indirmiştir.

Ölçülmüş performans. Sezgiselin gerçek cüzdanlara karşı ölçülmüş en güvenilir sonuçları Jonas Nick’in 2015 tarihli ETH Zürih yüksek lisans tezine aittir. Nick, 37.585 gerçek cüzdanın 60,88 milyon açık anahtarını içeren bir yer gerçekliği (ground truth) kümesi oluşturmuş ve eski nesil cüzdanlarda %90,79 kesinlik, %79,76 duyarlılık ölçmüştür. Modern cüzdanlarda ise elinde tek bir adres bulunan bir analistin cüzdanın ancak %68,59’una ulaşabildiğini tespit etmiştir. Bu iki rakam birlikte okunmalıdır: yöntem yüksek oranda doğrudur, fakat eksiktir — bir kümenin küçük görünmesi, aktörün küçük olduğu anlamına gelmez.

2. Para üstü (change) adresi tespiti

UTXO modelinde bir girdi tam olarak harcanmak zorundadır. 1 BTC ödemek için 1,28 BTC’lik bir girdi kullanılıyorsa, kalan 0,2799 BTC (ücret düşülmüş hâliyle) para üstü adresine geri döner. Bu adres ödeme alıcısına değil, gönderenin kendisine aittir. Doğru tespit edildiğinde küme bir adres daha büyür; yanlış tespit edildiğinde alıcıya ait bir adres gönderenin kümesine katılır — ve hata, zincirin ilerleyen adımlarında katlanarak büyür.

Meiklejohn ve arkadaşları “tek kullanımlık para üstü adresi” sezgiselini dört koşula bağlamıştır: çıktı adresinin ilk kez görülmesi, işlemin madencilik işlemi olmaması, çıktılar arasında girdilerden birinin tekrar etmemesi ve ilk kez görülen çıktının tek olması. Sonraki çalışmalar bu çekirdeği genişletmiştir. Uygulamada kullanılan alt sezgiseller şunlardır:

3. Cüzdan yazılımı parmak izi

Her cüzdan yazılımı, işlemi oluştururken protokolün serbest bıraktığı alanlarda kendine özgü tercihler yapar. Bu tercihler zincirde kalıcı olarak görünür ve bir yazılım imzası oluşturur. Bu imza tek başına kimlik vermez; ancak iki adresin aynı yazılımla ve aynı ayarlarla üretildiğini gösterdiği için diğer sezgiselleri destekler ve — daha önemlisi — bir adresin belirli bir cüzdanla üretilmediğini dışlamayı mümkün kılar.

Bu alanları sistemli biçimde inceleyen 2023 tarihli bir çalışma, sekiz yaygın cüzdanı test etmiş ve belirli bir blokta yakın tarihli işlemlerin yaklaşık yarısını doğru cüzdana atfedebilmiştir. Kalan yarısı “diğer” kategorisine düşmüştür. Bu oran, parmak izinin bir destekleyici delil olduğunu, tek başına taşıyıcı olamayacağını gösterir.

4. Zamansal davranış ve saat dilimi çıkarımı

Bir varlığın işlem zamanları, haftanın 168 saatine dağıtıldığında bir çalışma ritmi ortaya çıkarır. Bu vektör tüm varlıkların medyan kalıbıyla karşılaştırılıp en iyi eşleşmeyi veren saat kayması bulunduğunda, varlığın faaliyet gösterdiği saat dilimi kabaca tahmin edilebilir. Yöntem gerçektir ve tekrarlanabilirdir; ancak yayımlanmış doğrulama yalnızca on varlık üzerinde yapılmıştır ve hata payı ±1–1,7 saat düzeyindedir.

Buradan “şüpheli Türkiye’dedir” sonucu çıkarılamaz. Çıkarılabilecek olan şey çok daha dar ve çok daha savunulabilirdir: iki farklı kümenin çalışma ritmi birbirinin aynısıdır, dolayısıyla aynı operatöre işaret edebilirler. Türk uygulamasında bu ayrım kritiktir; bir bilirkişi raporu saat dilimi çıkarımından coğrafi konum sonucuna atlıyorsa, CMK m. 67/3’ün çizdiği sınırı zorlamaktadır.

5. Soyma zinciri (peeling chain)

Soyma zinciri, büyük bir bakiyenin uzun bir işlem dizisi boyunca yürütülerek her adımda küçük bir miktarın “soyulduğu”, kalanın ise yeni bir para üstü adresine taşındığı kalıptır. Aklama pratiğinde en yaygın morfolojidir; çünkü hem miktarı parçalar hem de her adımda yeni bir adres üreterek takibi yorar.

2023 tarihli kapsamlı bir çalışma, Bitcoin zincirinin tamamını tarayarak 624.573 doğrulanmış soyma zinciri tespit etmiştir. Ortaya çıkan profil, aklamanın sanıldığı kadar karmaşık olmadığını gösterir: zincirlerin %42,6’sı yalnızca iki turdan ibarettir, %79’u bir gün içinde tamamlanır ve işlemlerin %71,19’unda soyulan tutar girdinin %1’inden azdır. Yani kalıp uzun değil, hızlı ve ince dilimlidir.

Hesap tabanlı zincirlerde kümeleme: Ethereum, Tron, BSC

Kümeleme yöntemi, zincirin defter modeline göre değişir. UTXO zincirlerinde değer “harcanmamış çıktılar” hâlinde dolaştığı için ortak girdi sezgiseli doğrudan çalışır. Ethereum, Tron ve BNB Chain gibi hesap tabanlı zincirlerde ise değer kalıcı hesaplar arasında hareket eder; bir işlemin tek bir göndereni vardır. Dolayısıyla ortak girdi sezgiseli burada neredeyse hiç uygulanmaz ve kümeleme bambaşka izlere dayanır.

Yatırma adresi yeniden kullanımı ve süpürme mimarisi

Hesap tabanlı zincirlerde en verimli sezgisel, borsaların yatırma adresi mimarisinden doğar. Bir borsa her müşteriye kendine özgü bir yatırma adresi verir; bu adrese gelen bakiye periyodik olarak borsanın sıcak cüzdanına süpürülür. Buradan çıkan çıkarım şudur: aynı yatırma adresine gönderim yapan hesaplar büyük olasılıkla aynı müşteridir.

Bu sezgiseli akademik literatüre kazandıran 2020 tarihli çalışma, 53,3 milyon aktif Ethereum hesabının %17,9’unu kümeleyebilmiş ve birden fazla adres denetlediği anlaşılan 340.000’den fazla varlık tespit etmiştir. Aynı çalışma iki sezgisel daha tanımlar: aynı hava indirmesine (airdrop) birden çok adresle katılıp tokenları tek adreste toplama kalıbı ve kullanıcının kendi adresine ERC-20 harcama yetkisi vermesi (self-authorization) kalıbı.

Kümeleme nerede yanılır? Aşırı ve eksik kümeleme

Kümelemenin iki tür hatası vardır ve hukukî sonuçları taban tabana zıttır.

• Aşırı kümeleme (over-clustering): Birbiriyle ilgisiz adresler aynı kümeye çekilir. Sonucu masum bir kişinin suç kümesiyle ilişkilendirilmesi, hesabının bloke edilmesi veya şüpheli konumuna düşmesidir. Savunmanın asıl hedefi budur.
• Eksik kümeleme (under-clustering): Aynı aktöre ait adresler ayrı kümelerde kalır. Sonucu suç gelirinin bir kısmının hiç görülmemesi, müsadere ve iade taleplerinin eksik kalmasıdır. Mağdur vekilinin asıl riski budur.

Akademik literatürde belgelenmiş aşırı kümeleme vakaları

CoinJoin: ortak girdi sezgiselinin klasik yanlış pozitifi

CoinJoin, birbirini tanımayan birden çok kullanıcının girdilerini tek bir işlemde birleştirdiği bir gizlilik tekniğidir. Ortak girdi sezgiseli bu işleme uygulandığında, tamamen ilgisiz kişileri tek bir kümede birleştirir. Bu nedenle ciddi analiz altyapıları CoinJoin işlemlerini kümelemeden önce ayıklar; akademik araçlar bu dışlamayı açıkça belgeler.

Ayıklama kendi başına bir tespit problemidir. Yayımlanmış tespit ölçütleri şunlardır: bir CoinJoin uygulamasında “en az on adet eşit değerli çıktı” ve girdi sayısının en sık görülen çıktı sayısından az olmaması aranır; rastgele orman sınıflandırıcısı bu tespiti %99,98 doğrulukla yapabilmiştir. Bir diğer uygulamada ise “tam olarak beş girdi ve beş çıktı” ve çıktı değerlerinin sabit havuz büyüklüklerine eşit olması aranır; bu deterministik kalıp %100 isabetle saptanabilmektedir.

Buradaki ince nokta şudur: karıştırma işlemi tek tek bağlantıların hepsini yok etmez. Bir işlemin “entropisi”ni ve girdi–çıktı eşleşme olasılıklarını hesaplayan analizler, iki katılımcılı dört çıktılı bir karıştırma işleminde bile olasılığı 1,0 olan deterministik bağlantıların kalabildiğini göstermiştir. Yani CoinJoin mutlak bir kalkan değildir; ama ham co-spend kümelemesi için de mutlak bir tuzaktır.

Diğer yanlış pozitif kaynakları

• Toplu ödeme (batching). Borsalar çekim taleplerini tek bir işlemde yüzlerce çıktıya böler. Ölçümlere göre toplu işlemler tüm işlemlerin yaklaşık %12’sini oluşturur ama tüm çıktıların yaklaşık %40’ını ve dolaşan bitcoinlerin %30–60’ını taşır. İki çıktılı “ödeme + para üstü” varsayımına dayanan her sezgisel bu işlemlerde çöker; yüzlerce çıktının hepsi ilk kez görülüyorsa “tek kullanımlık adres” kuralı anlamsızlaşır.
• Çoklu imza ve ortak saklama. 2/3 çoklu imza düzeninde ortak harcama, tek bir gerçek kişinin değil yeterli sayıda imzacının birlikte hareket ettiğini gösterir. Müşteri ile saklama hizmeti veren kurum aynı kümeye düşer. Bu senaryonun ölçülmüş bir hata oranı literatürde bulunmamaktadır; mekanizma üzerinden tartışılmalıdır.
• Tozlama (dusting) ve etiket bulaşması. 2022 yılında Tornado Cash’in yaptırım listesine alınmasının ertesi günü, kimliği belirsiz bir aktör yüzlerce tanınmış cüzdana bu protokolden küçük miktarlar göndermiştir. Adres taraması yapan birçok merkeziyetsiz uygulama, kendi rızası olmaksızın “toz” alan kullanıcıları engellemiştir. Değme yoluyla suçluluk varsayımının kitlesel yanlış pozitif ürettiğinin ders kitabı örneğidir.
• Zaman boyutu. Küme bir fotoğraftır, kalıcı bir gerçek değil. Sağlayıcı yeni veri ekledikçe kümeler birleşir, bölünür, yeniden etiketlenir. Bir soruşturmanın başında alınan ekran görüntüsü ile duruşma tarihindeki küme aynı olmayabilir. Raporun hangi tarihli veri kümesiyle üretildiği bu nedenle esaslı bir bilgidir.

Kümelemeden kimliklendirmeye: adres kime ait?

Kimliklendirme, bir kümeye gerçek dünyadan bir kimlik atama işlemidir. Kümeleme “bu adresler aynı denetimdedir” der; kimliklendirme “bu denetim şuna aittir” der. İkincisi zincir üstü veriyle hiçbir koşulda yapılamaz; mutlaka zincir dışı bir kaynak gerekir:

• Kimlik doğrulaması yapan bir platformun KYC kayıtları (Türkiye’de CMK m. 332 ve m. 128/A f.7 kapsamında müzekkereye konu olur),
• Elkoyma sonucu elde edilen cihaz, sunucu veya yedekleme verisi,
• Mahkeme dosyalarına yansımış adresler, iddianame ekleri, yaptırım listeleri,
• Açık kaynak istihbaratı: forum gönderileri, sosyal medya, alan adı kayıtları, bağış adresleri,
• Mağdur beyanı ve mağdurun kendi işlem kaydı (Türk dosyalarında en sık kullanılan ve en kolay doğrulanabilen kaynak).

Burada ikinci bir ayrım daha yapılmalıdır: operatör anahtarları elinde tutan, faydalanıcı ise fonu başkasının altyapısı üzerinden elinde bulunduran kişidir. Bir borsa hesabının operatörü borsadır; faydalanıcısı müşteridir. Türk ceza hukuku bakımından bu ayrım doğrudan sonuç doğurur: TCK m. 55/1 “suçun işlenmesiyle elde edilen maddi menfaatler ile bunların değerlendirilmesi veya dönüştürülmesi sonucu ortaya çıkan ekonomik kazançların” müsaderesine hükmedileceğini söyler. Kazanç kimde ise müsadere oradadır; anahtarı kimin tuttuğu ayrı bir sorudur.

Gizlilik teknolojileri ve zincirler arası takip

Kümelemenin sınırları en net biçimde, gizliliği tasarım düzeyinde hedefleyen sistemlerde ve zincirler arası geçişlerde görünür. Bu bölüm, Türkçe kaynaklarda genellikle ya abartılan ya da tümüyle atlanan alanı, yayımlanmış ölçümlerle ele alır.

Monero: “izlenemez” mi?

Monero, halka imzaları, gizli adresler ve gizli tutarlar (RingCT) ile gönderen, alıcı ve miktarı aynı anda gizler. Literatürde yer alan yüksek izlenebilirlik oranlarının tamamı RingCT öncesi döneme veya belirli yazılım hatalarına aittir:

• 2017 tarihli bir çalışma, 2014–2017 arasında girdilerin %65,9’unun hiç karıştırıcı kullanmadığını ve zincirleme çıkarımla toplam %87’sinin izlenebilir hâle geldiğini ölçmüştür.
• 2018 tarihli geniş çaplı bir başka çalışma, karıştırıcı kullanan girdilerin yaklaşık %63’ünün sıfır-karıştırıcı zincirleme tepkimesiyle çözülebildiğini; RingCT sonrası dönemde bu oranın %40,03’e düştüğünü, zorunlu asgari karıştırıcı sayısının artmasıyla çözülebilirliğin Mart 2016’daki %95’ten Ocak 2017’de %20’ye indiğini göstermiştir.
• 2019 tarihli “kapalı küme” saldırısı Monero’da %70,52 izleme oranına ulaşmıştır — yine RingCT öncesi veri kümesiyle.
• 2024 tarihli bir taşkın (“siyah bilye”) saldırısında saldırgan zinciri kendi çıktılarıyla doldurarak başkalarının halka boyutunu etkisizleştirmeye çalışmıştır. Saldırı sönümlenirken yapılan ölçümde etkin halka boyutu 1 olan halkaların oranı %1’in altında kalmış; bir benzetim çalışması saldırı koşullarında bu oranı %12 olarak tahmin etmiştir.

Dürüst sonuç: RingCT sonrası ve 2023 sonrası Monero için yayımlanmış, yinelenebilir ve genel bir kırılma yoktur. İzleme belirli ve sayılabilir hâllerde mümkündür: geçmiş dönem işlemleri, cüzdan hataları, madencilik çıktısı ve havuz yapıları, taşkın saldırıları — ve hepsinden önemlisi uç noktalar, yani giriş ve çıkışın yapıldığı kimlik doğrulamalı platformlar. Ticari sağlayıcıların genel Monero izleme iddiaları bağımsız olarak doğrulanmamıştır. Bir Türk dosyasında “Monero izlenmiştir” denen bir raporun, hangi hâlden yararlandığını göstermesi gerekir.

Zcash: korumalı havuz gerçekten kullanılıyor mu?

Zcash’te korumalı işlemler uzun yıllar azınlıkta kaldı; 2018 tarihli bir çalışmada işlemlerin %73,5’i tümüyle şeffaftı ve basit sezgiseller anonimlik kümesini %69,1 oranında daraltabiliyordu. Bu tablo son dönemde belirgin biçimde değişmiştir: 2025 sonu itibarıyla korumalı havuzlardaki arz payının yıl başındaki ~%11 seviyesinden yaklaşık %30’a çıktığı raporlanmıştır. Ancak aynı kaynaklar, artışın büyük ölçüde havuza giriş–çıkış hareketlerinden kaynaklandığını, tamamen havuz içinde kalan işlemlerin hâlâ küçük bir pay tuttuğunu belirtmektedir. Adli açıdan anlam açıktır: istihbarat, havuzun içinde değil kenarlarında üretilir.

Lightning Network: zincirde görünen ve görünmeyen

Lightning’de kanal açılışı ve kapanışı zincir üstü işlemlerdir; arada gerçekleşen ödemeler değildir. Kamuya açık kanallarda kanal noktası (işlem kimliği ve çıktı indisi) ağ dedikodu protokolüyle zaten yayımlandığı için zincir içi ve zincir dışı eşleme kolaydır. 2021 tarihli bir çalışma, iki farklı eşleme algoritmasını tüm kümeleme sezgiselleriyle birleştirerek düğümlerin %45,97’sini adreslerin %29,61’ine bağlamış, adreslerin %21,19’una takma ad veya IP bilgisi atfedebilmiştir.

Bakiye sorgulama saldırıları ise kanal içindeki dağılımı ortaya çıkarır. Bir ölçümde saldırıya uğrayan 1.293 kanaldan 678’inin bakiyesi çıkarılabilmiş; başka bir çalışmada 1.628 kanalın 1.000’inden fazlasında tam bakiye bilgisine ulaşılmış, yedi sorgulama sonunda %1’den iyi doğruluk elde edilmiştir. Yani Lightning “görünmez” değildir; görünmeyen şey ödemenin kendisidir, ağın topolojisi ve kanal bakiyeleri büyük ölçüde görünürdür.

Zincirler arası geçiş: köprüler ve anlık takas servisleri

2025 ortası itibarıyla zincirler arası servisler üzerinden aklandığı tespit edilen kümülatif tutarın 21,8 milyar doları aştığı raporlanmıştır. Bu rakamın yıllık değil kümülatif olduğu vurgulanmalıdır; ikincil kaynaklarda en sık yapılan hata budur. Aynı rapor, incelenen dosyaların üçte birinden fazlasında üçten fazla blok zinciri, beşte birinde on’dan fazla blok zinciri kullanıldığını bildirmektedir.

Takip edilebilirlik, kullanılan köprünün mimarisine göre keskin biçimde değişir:

Kimlik doğrulaması yapmayan anlık takas servisleri bu nedenle aklama zincirlerinin en kritik halkasıdır. Nisan 2025’te Almanya’da bir savcılık ve federal polis operasyonuyla kapatılan bir servis üzerinden 2014’ten bu yana yaklaşık 1,9 milyar dolarlık hacim geçtiği, operasyonda yaklaşık 34 milyon euro karşılığı kripto varlık ve 8 terabayttan fazla verinin ele geçirildiği açıklanmıştır. Aynı servisin, Şubat 2025’teki büyük borsa hırsızlığından elde edilen fonun yaklaşık 200 milyon dolarlık bölümünü aklamakta kullanıldığı raporlanmıştır.

Makine öğrenmesi kümelemeyi kurtarır mı?

Kısa cevap: kısmen. Yapay öğrenme, sezgisellerin oy verdiği bir özellik uzayında çalıştığında gerçekten daha iyi sonuç verir. Möser ve Narayanan’ın 2022 tarihli çalışması 26 farklı para üstü sezgiselini ordinal oy olarak modele vermiş ve rastgele orman sınıflandırıcısıyla 0,9986 ROC AUC elde etmiştir; yanlış pozitif oranı %0,1’in altında tutulduğunda doğru tespit oranı %82’dir (klasik oylama yönteminde bu oran %39). Aynı çalışmanın uyarısı ise daha önemlidir: kümeleme tam olarak hesaba katılmazsa uzun vadeli zincir analizlerinin sonuçları en az %11–14 sapmaktadır.

Aklama deseni tespitine gelince tablo daha alçakgönüllüdür. 49,3 milyon düğüm ve 196,2 milyon kenarlık bir arka plan çizgesi üzerinde 121.810 etiketli alt çizgeyle yapılan 2024 tarihli çalışmada, en iyi performans gösteren model şu özetle raporlanmıştır: şüpheli olarak işaretlenen her dört alt çizgeden en az biri gerçekten şüpheli ve şüpheli alt çizgelerin %85’i yakalanabiliyor. Yani en gelişmiş desen dedektörü bile her gerçek uyarıya karşılık yaklaşık üç yanlış uyarı üretmektedir.

Adres davranışı sınıflandırmasında sonuçlar daha yüksektir (iki milyondan fazla etiketli Bitcoin adresiyle eğitilen bir çizge sinir ağı modelinde ağırlıklı F1 skoru 0,9497). Ancak burada tahmin edilen şey kimlik değil türdür: “bu adres bir borsaya benziyor” demek ile “bu adres şu kişiye ait” demek arasındaki mesafe, bu makalenin tamamıdır.

Gerçek soruşturmalar: kümeleme neyi çözdü, neyi çözemedi?

Bitfinex: kümelemenin daralttığı alanda bulunan 500 dolar

2016 yılında bir borsadan iki binden fazla yetkisiz işlemle 119.754 bitcoin tek bir cüzdana aktarıldı. Fon yıllarca hareketsiz bekledi; aklama parça parça yapıldı. Savcılık belgelerinde tarif edilen zincir, kümelemenin gerçekte ne işe yaradığını çok iyi gösterir:

1. Soyma zinciri ile fon küçük dilimlere bölündü.
2. 2017 başında bir karanlık pazara yatırılıp çekilerek zincir üstü iz kasıtlı olarak koparıldı. (O pazar 2017’de ele geçirildiği için iç kayıtları soruşturmaya açıldı.)
3. Bir platformda sahte kimliklerle açılan hesaplar tamamen Monero ile fonlandı, sonra tekrar bitcoine çevrildi — zincir atlama.
4. Şubat 2019 – Aralık 2020 arasında 177,116 BTC’nin geçtiği bir ara küme tespit edildi; bu küme, çekim yapılan platformlarla şüphelilerin hesapları arasında tekrar tekrar aracı olarak kullanılıyordu. Kümelemenin belirleyici katkısı tam olarak buradadır.
5. 3 Mayıs 2020’de bu ara kümeden 0,057 BTC ile 500 dolarlık bir market hediye kartı alındı. Kart, şüphelilerden birinin adıyla, bir mobil uygulama üzerinden, ev adresine teslim edilecek şekilde üç işlemde kullanıldı.
6. Ocak 2022’de bir bulut depolama hesabındaki şifreli dosya çözüldü: cüzdandaki tüm adreslerin özel anahtarlarını içeren bir liste. Elkoyma bununla mümkün oldu.

Dersin özeti şudur: kümeleme kimseyi yakalamadı; kümeleme aranacak alanı yüz binlerce adresten tek bir ara kümeye indirdi. Kimliği veren şey hediye kartı, ev adresi ve bulut hesabıydı. Türk savcılık pratiğine çevirisi: zincir analizi müzekkerenin nereye yazılacağını söyler, müzekkerenin cevabı ise kimliği verir.

Welcome to Video: mimarinin kendisi delil olduğunda

2019 yılında açıklanan soruşturmada, karanlık ağda faaliyet gösteren bir sitenin her kullanıcıya kendine özgü bir bitcoin yatırma adresi vermesi, siteyi kendi kendini etiketleyen bir veri kümesine dönüştürmüştü. Sunucuya el konulduktan sonra izlenen yol basittir: adresler tek bir varlık kümesinde toplandı, her kullanıcının yatırma adresini hangi borsadan fonladığı tespit edildi ve ilgili borsalara kimlik kayıtları için müzekkere yazıldı. Sonuç: 38 ülkede 337 kişi hakkında işlem ve en az 23 çocuk mağdurun kurtarılması.

Bu dosya, kümelemenin en güçlü olduğu hâli gösterir: sezgisele hiç ihtiyaç duyulmamıştır, çünkü kümenin sınırını sistemin mimarisi çizmiştir. Kümelemenin en zayıf olduğu hâl ise bunun tam tersidir — sınırın yalnızca istatistikle çizildiği durumlar.

2025: izlemenin yettiği, ama yetmediği yer

Şubat 2025’te bir borsadan yaklaşık 1,4–1,5 milyar dolar değerinde varlık çalındı; bu, bugüne kadarki en büyük tek kripto hırsızlığıdır. Fon dakikalar içinde takas edildi, iki saat içinde her biri yaklaşık 10.000 ETH tutan 50 cüzdana dağıtıldı ve dokuz gün içinde boşaltıldı. Zincir analizi bu hareketin neredeyse tamamını gerçek zamanlı olarak gördü. Buna rağmen dondurulabilen oran %4’ün altında kaldı.

Bu, yöntemin sınırına dair en dürüst veridir: görmek ile durdurmak farklı şeylerdir. Zincir analizi bir izleme teknolojisidir; varlığın geri alınması ise tamamen hukukî iş birliğine, yargı yetkisine ve platformların yanıt hızına bağlıdır. Türkiye açısından bu tespitin karşılığı CMK m. 128/A’nın getirdiği kırk sekiz saatlik askıya alma penceresidir — teknik tespit ne kadar hızlı olursa olsun, hukukî tedbir alınmazsa sonuç değişmez.

Karşılaştırmalı hukukta delil değeri: iki mahkeme, iki sonuç

2024 yılı, blok zinciri analizinin mahkeme önündeki değeri bakımından iki zıt karar üretti. Türk hukukçusu için bu ikili, tartışmanın çerçevesini kurar.

Sterlingov kararında federal mahkeme, savunmanın “hata oranı yayımlanmamış” itirazını yerinde bulmuş ancak bunun tek başına delili sakatlamadığına hükmetmiştir. Kararda sağlayıcının yanlış pozitif ve yanlış negatifleri merkezî olarak kayıt altına almadığı açıkça tespit edilmiş; buna rağmen yöntemin elle ve rakip yazılımlarla sınanabilir olması, ortak girdi sezgiselinin akademik kabul görmesi ve bağımsız çapraz doğrulamaların varlığı nedeniyle delil kabul edilmiştir. Sanık 2024 yılında mahkûm olmuş ve 150 ay hapis cezası almıştır. Temyiz aşamasında, 2026 yılında yapılan duruşmada hâkimler bu kez kolluk tarafından kullanılan IP örtüşmesi analizinin hata oranı ve hakem denetimi bakımından eleştirilmiş; yani tartışma kapanmamıştır.

D’Aloia davasında ise İngiliz Yüksek Mahkemesi, yaklaşık 2,5 milyon sterlinlik bir dolandırıcılıkta takip iddiasını reddetmiştir. Gerekçeler bir denetim kontrol listesi niteliğindedir: aynı uzmanın iki farklı yazılımla ürettiği iki rapor anlamlı ölçüde farklı sonuç vermiştir; beyan edilen yöntem (FIFO) fiilen uygulanmamıştır; bazı adımlar uzmanın kendi açıkladığı yöntemle matematiksel olarak uyuşmamaktadır; analiz “uzman tarafından değil sistem tarafından yönlendirilmiştir”; ve seçilen yöntem diğer mağdurlar aleyhine davacıyı kayırmaktadır. Ayrıca davalı borsanın havuz cüzdanı kullanması, karışan fonun ayrıştırılmasını imkânsız kılmıştır.

Türk hukukunda blok zinciri analizi raporunun delil değeri

Türkiye’de kripto varlık soruşturmaları hızla arttı, elkoyma ve askıya alma yetkileri genişledi; ancak analitiğin güvenilirliğine ilişkin yerleşik bir içtihat henüz oluşmadı. Anayasa Mahkemesi bireysel başvuru veri tabanında “kripto varlık” ibaresinin geçtiği tek bir karar dahi bulunmamaktadır. Yargıtay karar arama sisteminde bu ibare yalnızca birkaç kararda geçmektedir. Bu boşluk, uygulayıcı için hem risk hem fırsattır: mevcut dijital delil içtihadı, blok zinciri analizi raporlarına doğrudan uygulanabilir niteliktedir ve bu raporlar bugüne kadar bu ölçütlerle çok az denetlenmiştir.

Dijital delil standardı — Yargıtay Ceza Genel Kurulu, E. 2025/94, K. 2025/227, 21.05.2025

Ceza Genel Kurulu, CMK m. 134/3’te geçen “yedekleme” kavramının ne anlama geldiğini bu kararla netleştirmiştir. Karar, blok zinciri analizinin dayandığı cihaz ve cüzdan verisinin nasıl elde edilmesi gerektiğini belirlediği için doğrudan konumuzla ilgilidir:

“Maddenin üçüncü fıkrasında belirtilen ‘yedekleme’ tabirinden, imaj alma işlemini anlamak gerekir. Zira imaj alma, dijital medyanın alelade kopyalanması değil aktif, silinmiş veya artık alanlarında bulunan verilerin, orijinal medyadaki hâliyle birebir aynı, adeta aynadaki görüntüsü gibi yedeklenmesidir. Bu işlem verilerin özet-kriptografik hash değerinin çıkarılması olarak da adlandırılmaktadır.”

“Yedekleme işlemi de mutlak suretle şüpheli ve/veya müdafiinin huzurunda yapılarak imaj alınmadan önce sisteme veri yerleştirildiği ve daha sonra imaj alındığı şüphesi ortadan kaldırılmalıdır.”

Karar, bu önlemler alınmadan yapılan incelemede elde edilen verilerin “hukuka aykırı yöntemle elde edilen delil niteliğinde olacağını” açıkça belirtmektedir. Uygulamadaki karşılığı: şüphelinin telefonundan elde edilen cüzdan uygulaması verisi, seed ifadesi, borsa uygulaması ekran görüntüsü veya özel anahtar dosyası, imaj alınmadan ve müdafi huzurunda işlem yapılmadan dosyaya girmişse, bu veriye dayanan kümeleme analizi de aynı sakatlığı devralır. Zincirin ilk halkası hukuka aykırı ise, üzerine kurulan istatistiksel yapı hükme esas alınamaz.

Bilirkişinin sınırı — CMK m. 63, m. 67/3 ve m. 67/6

CMK m. 63/1 uyarınca bilirkişiye ancak “çözümü uzmanlığı, özel veya teknik bilgiyi gerektiren hâllerde” başvurulabilir; aynı fıkra, hâkimlik mesleğinin gerektirdiği hukukî bilgiyle çözülebilecek konularda bilirkişiye başvurulamayacağını belirtir. Asıl sınırı ise m. 67/3 çizer:

“Bilirkişi, raporunda ve sözlü açıklamaları sırasında çözümü uzmanlığı, özel veya teknik bilgiyi gerektiren hususlar dışında açıklama yapamaz; hâkim tarafından yapılması gereken hukukî nitelendirme ve değerlendirmelerde bulunamaz.”

Bu hüküm, blok zinciri analizi raporları bakımından son derece işlevseldir. Bir bilirkişi raporu şunu yazabilir: “X adresi ile Y adresi, 14.03.2026 tarihli ve şu kimlikli işlemde birlikte harcanmıştır; ortak girdi sezgiseli uyarınca aynı özel anahtar denetimi altında bulundukları değerlendirilmiştir.” Şunu yazamaz: “X adresi şüpheliye aittir ve şüpheli bu parayı aklamıştır.” İkinci cümle hem bir kimliklendirme iddiasını hem de bir hukukî nitelendirmeyi içerir; ilki zincir dışı delille kanıtlanması gereken bir vakıa, ikincisi ise hâkimin işidir.

Buna karşılık CMK m. 67/6, taraflara güçlü bir imkân verir: Cumhuriyet savcısı, katılan, vekil, şüpheli, sanık, müdafi veya kanunî temsilci, bilirkişi raporunun hazırlanmasında değerlendirilmek üzere ya da rapor hakkında uzmanından bilimsel mütalaa alabilir ve yalnızca bu nedenle ayrıca süre istenemez. Kümeleme metodolojisine yönelik itirazların doğal yolu budur.

Silahların eşitliği — AYM, Ahmet Mandacı ve Diğerleri (2), B. No: 2020/31584, 06.05.2026

Anayasa Mahkemesi, dijital materyaller üzerinde bilirkişi incelemesi yaptırılması talebinin reddedilmesini silahların eşitliği ve çelişmeli yargılama ilkelerinin ihlali olarak değerlendirmiştir. Başvurucular, delillerin mahkeme huzuruna getirilerek incelenmesi taleplerinin karşılanmaması nedeniyle usule ilişkin imkânlar bakımından zayıf duruma düşürüldüklerini ileri sürmüş; Mahkeme ihlal sonucuna varmıştır.

Aynı yönde bir başka karar, Erkan Demir, B. No: 2021/31045, 20.05.2026 tarihlidir; burada da ele geçirilen dijital veriler üzerinde bilirkişi incelemesi yaptırılması talebinin kabul edilmemesi ihlal sebebi sayılmıştır. Dengeli bir okuma için karşı örnek de kaydedilmelidir: Şerif Özmutlu, B. No: 2020/36986, Genel Kurul, 25.09.2025 kararında (RG 13.03.2026, S. 33195) aynı ilkeler bakımından ihlal bulunmamıştır. Yani sonuç, talebin somut olaydaki işlevine göre değişmektedir.

Kümeleme raporları bakımından anlamı doğrudandır: ticari bir yazılımın çıktısına dayanan bir rapor dosyaya girdiğinde, savunmanın bu çıktının ham verisine ve yöntemine erişim talebi usulî bir lüks değil, silahların eşitliğinin gereğidir. Talebin gerekçesiz reddi, yukarıdaki içtihat ışığında ihlal riski doğurur.

Bilirkişilik altyapısı: alan var, nitelik eşiği düşük

Bilirkişilik Daire Başkanlığı’nın 22.01.2026 tarihli temel ve alt uzmanlık alanları listesinde, 18 numaralı “Bilişim Sistemleri ve Teknolojileri” temel alanı altında 18.12 — Kriptoloji, Blok Zincir ve Kripto Paralar adlı bir alt uzmanlık alanı bulunmaktadır. Yani Türkiye’de blok zinciri bilirkişiliği kurumsal olarak tanınmıştır.

Ancak nitelik eşiğinde dikkat çekici bir asimetri vardır. 18 numaralı temel alan için aranan nitelik, alt uzmanlık alanına uygun bir fakülte veya bölümden lisans ya da ön lisans mezunu olmaktır. Buna karşılık 56 numaralı “Adlî ve Kriminalistik İncelemeler” temel alanında (56.20 Veri İnceleme, 56.22 Kriptoloji vb.), resmî kurum, akredite laboratuvar veya üniversite bünyesinde en az beş yıl sertifikalı ya da yetkili uzman olarak çalışmış olmak aranmaktadır. Blok zinciri analizi yapacak bilirkişiden yalnızca diploma istenirken, komşu alanda beş yıllık fiilî deneyim aranması, rapor kalitesindeki dalgalanmanın yapısal bir açıklamasıdır.

Buna 6754 sayılı Bilirkişilik Kanunu m. 10’un genel şartları eklenir: bilirkişilik temel eğitimini tamamlamış olmak ve uzmanlık alanında en az beş yıl fiilen çalışmış olmak. Sicile kayıt üç yıllıktır. Ekonomik boyut da göz ardı edilmemelidir: 2026 Yılı Bilirkişilik Asgari Ücret Tarifesi’ne göre (RG 26.12.2025, S. 33119) ağır ceza mahkemelerinde gerçek kişi bilirkişi için asgari ücret 4.100,00 TL, Cumhuriyet başsavcılıklarında yürütülen soruşturmalarda 2.200,00 TL’dir. Tarifenin 8. maddesi mercie, bilirkişinin vasfı ve temin güçlüğü gibi gerekçelerle ücreti artırma yetkisi verir; kapsamlı zincir analizi gerektiren dosyalarda bu yetkinin kullanılması talep edilebilir.

Koruma tedbirleri: CMK m. 128’deki boşluk ve m. 128/A’nın getirdiği çözüm

CMK m. 128, malvarlığına elkoymayı düzenler ve birinci fıkrada elkonulabilecek değerleri sayar: taşınmazlar, ulaşım araçları, banka veya diğer malî kurumlardaki her türlü hesap, her türlü hak ve alacak, kıymetli evrak, ortaklık payları, kiralık kasa mevcutları ve diğer malvarlığı değerleri. “Kripto varlık” bu listede açıkça yer almaz. Uygulamada kripto varlıklar (h) bendindeki “diğer malvarlığı değerleri” üzerinden, tartışmalı biçimde ise hizmet sağlayıcının “malî kurum” sayılması hâlinde (c) bendi üzerinden kapsanmaktadır.

İkinci fıkradaki katalog da dardır: TCK m. 157 ve 158 (dolandırıcılık) ile m. 141–142 (hırsızlık) kataloğa dâhildir; ancak TCK m. 245 (banka veya kredi kartlarının kötüye kullanılması) ve m. 282 (aklama) katalogda yoktur. Ayrıca m. 128/1 uyarınca elkoyma kararı için BDDK, SPK, MASAK gibi kurumlardan suçtan elde edilen değere ilişkin rapor alınması zorunludur ve bu rapor en geç üç ay içinde hazırlanır — kripto varlığın saniyeler içinde hareket ettiği bir alanda bu süre başlı başına bir engeldir.

Bu iki boşluğu, 7571 sayılı Kanun (RG 25.12.2025, S. 33118) ile CMK’ya eklenen m. 128/A kapatmaktadır. Madde, “bilişim suçlarının işlenmesi suretiyle elde edilen menfaatin bulunduğu hesabın askıya alınması ve elkoyma” başlığını taşır ve şu sistemi kurar:

Maddenin kapsamı TCK m. 142/2-e (nitelikli hırsızlık), m. 158/1-f ve 158/1-l (nitelikli dolandırıcılık) ile m. 245 ile sınırlıdır. Beşinci fıkra uyarınca elkonulan menfaatin mağdura ait olduğu anlaşılırsa soruşturma veya kovuşturma evresinde sahibine iade edilir — mağdur vekili açısından iade talebinin doğrudan dayanağıdır. Konunun ayrıntısı için kripto varlıklara CMK 128 kapsamında elkoyma ve kripto varlıkların müsaderesi başlıklı çalışmalarımıza bakılabilir.

Aklama ekseni: 5549 sayılı Kanun m. 17 ve m. 19/A

5549 sayılı Kanun m. 17/1, aklama ve terörün finansmanı suçunun işlendiğine dair kuvvetli şüphe bulunan hâllerde CMK m. 128’deki usule göre malvarlığı değerlerine elkonulabileceğini düzenler. Gecikmesinde sakınca bulunan hâllerde savcı karar verir, işlem 24 saat içinde hâkim onayına sunulur ve hâkim 24 saat içinde karar verir.

Bundan ayrı olarak m. 19/A (6704 sayılı Kanunla eklenmiştir) idarî nitelikte bir erteleme yetkisi getirir: şüpheyi teyit etmek, işlemi analiz etmek veya analiz sonuçlarını yetkili makamlara iletmek amacıyla işlemleri yedi iş günü süreyle askıya almaya veya gerçekleşmesine izin vermemeye Bakan yetkilidir. Bu yedi iş günü, uygulamada “MASAK blokesi” olarak bilinen tedbirin çekirdeğidir; ayrıntısı için MASAK blokesi rehberimize ve aklama şüphesiyle kripto varlığa elkoyma başlıklı yazımıza bakılabilir.

Müsadere: TCK m. 55 ve dönüşüm zinciri

Kümeleme analizinin en doğrudan hukukî sonucu müsadere alanındadır. TCK m. 55/1, suçun işlenmesiyle elde edilen maddi menfaatler ile bunların “değerlendirilmesi veya dönüştürülmesi sonucu ortaya çıkan ekonomik kazançların” müsaderesine karar verileceğini söyler. Bu hüküm, fiat → kripto → başka kripto → tekrar fiat şeklindeki dönüşüm zincirini kapsayacak genişliktedir; kümeleme ve takip analizi tam da bu dönüşümü belgelemeye yarar.

Varlığa fiilen ulaşılamadığı hâllerde m. 55/2 devreye girer: müsadere konusu maddi menfaatlere elkonulamadığı veya merciine teslim edilmediği hâllerde karşılığını oluşturan değerlerin müsaderesine hükmedilir. Özel anahtarın teslim edilmediği ya da varlığın erişilemez hâle getirildiği kripto dosyalarında pratik çözüm budur.

Para katırı indirimi: TCK m. 158/4 (7589 sayılı Kanun, RG 31.07.2026, S. 33326)

2026 yılında yapılan bir değişiklikle TCK m. 158’e dördüncü fıkra eklenmiştir. Buna göre m. 157 ve m. 158’deki suçlara iştirakin, kendisine veya başkasına haksız menfaat sağlamak amacıyla banka veya kredi kartı gibi ödeme araçlarını ya da banka, aracı kurum, ödeme hizmeti sağlayıcıları veya kripto varlık hizmet sağlayıcıları nezdindeki hesabın kullanılmasını sağlayan zorunlu bilgi veya araçları başkasına vermek fiiliyle sınırlı olması hâlinde, verilecek ceza yarı oranında indirilir.

Bu hüküm, kümeleme tartışmasıyla doğrudan bağlantılıdır. Zincir analizi çoğu zaman önce hesabı bulur, hesabı bulunca hesap sahibini bulur. Hesap sahibi ise çoğu dosyada organizasyonun beyni değil, hesabını devreden kişidir. Yeni fıkra bu kişinin konumunu açıkça farklılaştırmıştır; savunma bakımından fiilin sınırının belgelenmesi kritik hâle gelmiştir.

Kişisel veri boyutu: KVKK m. 28/1-d ile m. 28/2-a ayrımı

Kripto adres verisi ve ona bağlanan kimlik bilgisi 6698 sayılı Kanun anlamında kişisel veri niteliği taşıyabilir. Burada sıkça karıştırılan bir ayrım vardır:

• m. 28/1-d, kişisel verilerin “soruşturma, kovuşturma, yargılama veya infaz işlemlerine ilişkin olarak yargı makamları veya infaz mercileri tarafından” işlenmesini Kanun kapsamı dışında bırakır. Bu tam istisnadır.
• m. 28/2-a ise kişisel veri işlemenin “suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması” hâlini düzenler ve yalnızca kısmî istisna getirir (aydınlatma yükümlülüğü, ilgili kişinin bazı hakları ve sicile kayıt yükümlülüğü uygulanmaz).

Blok zinciri analizi raporunu hazırlayan özel bir şirket ya da serbest çalışan uzman yargı makamı değildir; dolayısıyla tam istisnadan yararlanamaz. Adres–kimlik eşleştirmesi içeren bir etiket veri tabanının oluşturulması ve kullanılması, olsa olsa kısmî istisna kapsamında değerlendirilebilir. Uygulamada bu, raporun hangi veri kaynaklarını hangi hukukî sebebe dayanarak işlediğinin belirtilmesini gerektirir.

Yargıtay’ın kripto dosyalarına bakışı

Yargıtay’ın kripto varlık içeren dosyalarda blok zinciri analizinin metodolojisini doğrudan tartıştığı bir kararına rastlanmamıştır. Buna karşılık, soruşturmanın asgari kapsamına ilişkin ölçüt koyan kararlar mevcuttur.

Yargıtay 11. Ceza Dairesi, E. 2026/538, K. 2026/6490, 15.06.2026 (kanun yararına bozma — kabul). Kripto platformuna para gönderilen bir yatırım dolandırıcılığı dosyasında kovuşturmaya yer olmadığına dair karara yapılan itirazın reddi hukuka aykırı bulunmuştur. Daire’nin aradığı soruşturma adımları, kripto dosyaları için fiilen bir asgari standart oluşturmaktadır:

“…paranın gönderildiği hesap sahibi şirketin yetkilisi/yetkilileri ile… ifadelerinin alınması, bu şirket nezdinde şikâyetçiye ait herhangi bir yatırım hesabı olup olmadığının sorulması, bulunduğunun belirlenmesi hâlinde hesap hareketlerinin, bu hesaba giriş yapan IP bilgilerinin temin edilmesi, benzer şekilde gerçekleştirilen başkaca eylemler olup olmadığının Emniyet Genel Müdürlüğü Siber Suçlarla Mücadele Daire Başkanlığından da sorularak ortaya konulması…”

Yargıtay 11. Ceza Dairesi, E. 2025/4935, K. 2025/15290, 26.11.2025 (onama). TCK m. 158/1-l kapsamında kendisini kamu görevlisi olarak tanıtma suretiyle dolandırıcılık dosyasında, para katırı hesabından üç ayrı işlemle bir kripto varlık şirketi hesabına yapılan aktarım ile hesap açılışındaki GSM numarası ve özçekim fotoğrafı eşleşmesi mahkûmiyete esas alınmıştır. Karar, fiat → kripto akış takibinin ve zincir dışı kimlik unsurlarının birlikte kullanılmasının kabul gördüğünü göstermektedir.

Mülkiyet hakkı boyutu. Hesap blokesi ve elkoyma tedbirlerinin mülkiyet hakkı bakımından denetimi konusunda AYM içtihadı gelişmektedir: Yücel Çevik, B. No: 2019/39312, 12.04.2023 kararında idarece hukuka aykırı olarak banka hesaplarına bloke konulması nedeniyle mülkiyet hakkının ihlal edildiği sonucuna varılmıştır. Aynı doğrultuda Adnan Yeşilmen ve Diğerleri, B. No: 2021/3098, 09.04.2026 kararı da bloke ve mülkiyet ekseninde ihlal tespit etmiştir. Kripto hesaplarına yönelik askıya alma ve elkoyma tedbirlerinin denetiminde bu içtihat hattı esas alınabilir.

Savunma tarafı: bir kümeleme raporu nasıl denetlenir?

Aşağıdaki kontrol listesi, dosyaya giren bir blok zinciri analizi raporunun CMK m. 67/6 kapsamında alınacak uzman mütalaası ve duruşmadaki tartışma için hazırlanmıştır. Her madde, bu makalede açıklanan bir teknik gerçeğe karşılık gelir. Amaç raporu itibarsızlaştırmak değil, hangi cümlesinin gözleme, hangi cümlesinin çıkarıma dayandığını ayırmaktır.

1. Hangi sezgiseller kullanıldı? Rapor, ortak girdi, para üstü, yatırma adresi yeniden kullanımı gibi hangi yöntemleri uyguladığını adıyla belirtiyor mu?
2. Küme büyüklüğü nedir? Şüpheliye atfedilen küme kaç adres içeriyor? On binlerce adreslik bir küme, bir gerçek kişiye değil bir altyapıya işaret eder.
3. CoinJoin ve benzeri karıştırma işlemleri ayıklandı mı? Ayıklanmadıysa ortak girdi sezgiseli güvenilir değildir.
4. Toplu ödeme (batch) işlemleri nasıl ele alındı? Yüzlerce çıktılı işlemlerde para üstü varsayımı geçerli değildir.
5. Çoklu imza / saklama hizmeti ihtimali değerlendirildi mi? Ortak harcama, tek kişinin değil yeterli sayıda imzacının hareketini gösterir.
6. Para üstü tespitinde çekimser kalınan işlem sayısı verildi mi? Verilmemişse sezgiselin zorlandığı yerler gizlenmiştir.
7. Yatırma adresi sezgiseli kullanıldıysa, zehirlenme ihtimali tartışıldı mı? Bilinen bir yatırma adresine gönderim yapan herkes o adresin sahibi değildir.
8. Gaz fonlayıcı desenleri dışlandı mı? Aynı kaynaktan fonlanmış adreslerin borsa altyapısına ait olup olmadığı kontrol edilmelidir.
9. Etiketlerin kaynağı ve tarihi belirtildi mi? “Bu adres X borsasına aittir” ifadesinin dayanağı nedir ve ne zamana aittir?
10. Analiz hangi tarihli veri kümesiyle yapıldı? Kümeler zaman içinde birleşir ve bölünür; rapor bir fotoğraftır.
11. Sonuç bir güven derecesiyle mi ifade edilmiş? “Kesinlikle aittir” ifadesi, yöntemin doğasıyla bağdaşmaz.
12. Zincirler arası geçişler hangi rejimde takip edildi? Deterministik bağ mı, yalnızca zaman–tutar benzerliği mi (bkz. Şema 10)?
13. Analiz elle veya bağımsız bir araçla tekrarlanabilir mi? Adım adım işlem kimlikleri verilmiş mi?
14. Rapor, CMK m. 67/3’ün sınırını aşıp hukukî nitelendirme yapıyor mu? “Aklama fiilini gerçekleştirmiştir” gibi cümleler bilirkişinin yetkisi dışındadır.
15. Bilirkişinin uzmanlık alanı nedir? 18.12 “Kriptoloji, Blok Zincir ve Kripto Paralar” alt uzmanlık alanında sicile kayıtlı mı; değilse liste dışı görevlendirmenin gerekçesi nedir?
16. Cihaz verisi CMK m. 134 usulüne uygun elde edildi mi? İmaj alındı mı, özet değer çıkarıldı mı, işlem şüpheli ve/veya müdafi huzurunda mı yapıldı?
17. Ham veriye erişim talep edildi mi? Talep reddedilmişse, AYM’nin silahların eşitliği içtihadı gündeme getirilmelidir.
18. Uzman mütalaası alındı mı? CMK m. 67/6 bu hakkı açıkça tanır ve bu nedenle ayrıca süre istenemeyeceğini belirtir.

Bu denetim, teknik uzmanla birlikte yürütüldüğünde anlamlıdır. Rapor hazırlama ve denetleme yöntemimizi kripto adli bilişim teknik uzman raporu ve blokzincir bilirkişiliği başlıklı yazılarımızda ayrıntılı olarak anlattık.

Mağdur tarafı: ilk 72 saat ve sonrası

Kümeleme analizinin mağdur açısından değeri, hızla daralttığı arama alanıdır. Ancak bu değer yalnızca hukukî tedbir aynı hızla alınırsa sonuç doğurur. Aşağıdaki sıra, uygulamada işe yarayan asgari çerçevedir:

1. İşlem kimliklerini (TXID) kaydedin. Ekran görüntüsü değil, işlem kimliğinin kendisi. Ağ bilgisi (TRC-20, ERC-20, BEP-20) mutlaka not edilmelidir; yanlış ağ bilgisi takibi baştan bozar.
2. Platform kayıtlarını indirin. Hesap özeti, çekim kayıtları, yazışmalar. Platformlar hesap kapanmasından sonra erişimi sınırlayabilir.
3. Derhâl şikâyette bulunun. CMK m. 128/A’nın kırk sekiz saatlik askıya alma penceresi ve 5549 m. 19/A’nın yedi iş günlük erteleme yetkisi, ancak zamanında harekete geçilirse kullanılabilir.
4. Elkoyma ve iade talebini birlikte ileri sürün. CMK m. 128/A f. 5, elkonulan menfaatin mağdura ait olduğu anlaşılırsa soruşturma veya kovuşturma evresinde iade edileceğini düzenler.
5. Zincir analizi raporunu dilekçeye ek yapın. Ancak raporun sonucunu değil, hangi adreslere hangi müzekkerenin yazılması gerektiğini öne çıkarın. Savcılık için işlevsel olan budur.
6. Yurt dışı platformlar için adlî iş birliği yolunu erkenden gündeme getirin. Platform gönüllü dondurma yapabilir; yapmazsa istinabe süreci uzundur.
7. Müsadere ve eşdeğer müsadere taleplerini kayda geçirin. TCK m. 55/1 dönüşüm kazançlarını, m. 55/2 ise varlığa ulaşılamadığı hâlleri kapsar.
8. “Varlık kurtarma” vaadiyle yapılan ikinci dalga dolandırıcılığa karşı dikkatli olun. Mağdur listeleri yeniden pazarlanmaktadır.

Süreç ayrıntıları için kripto adli bilişim ve blockchain analizi ile fon takibi ve kripto varlık soruşturması rehberi başlıklı çalışmalarımıza bakabilirsiniz. Mikserlerden geçen fonların takip mantığını ise demixing yazımızda ele aldık.

Düzenleyici çerçeve: SPK, MASAK ve FATF

Kümeleme ve takip analizinin hukukî zemini, kripto varlık hizmet sağlayıcılarının (KVHS) düzenlenmesiyle doğrudan bağlantılıdır; çünkü kimliklendirmenin son halkası hemen her zaman düzenlenmiş bir kuruluştur.

• 7518 sayılı Kanun (RG 02.07.2024) ile 6362 sayılı Sermaye Piyasası Kanunu’na kripto varlık hükümleri eklenmiştir. m. 3/1’de “kripto varlık” ve “cüzdan” tanımlanmış; m. 35/B ile KVHS faaliyeti Kurul iznine bağlanmış; m. 35/C ile müşteri kimliğinin 5549 sayılı Kanun kapsamında tespiti zorunlu kılınmış ve platformlara gözetim sistemi kurma, hesapların kısıtlanması dâhil tedbir alma yükümlülüğü getirilmiştir. m. 109/A, izinsiz KVHS faaliyeti için üç yıldan beş yıla kadar hapis ve beş bin günden on bin güne kadar adlî para cezası öngörür. m. 110/A ise KVHS’de zimmet suçunu düzenler.
• SPK tebliğleri III-35/B.1 ve III-35/B.2 (her ikisi de RG 13.03.2025, S. 32840) sırasıyla kuruluş ve faaliyet esasları ile çalışma usul ve esasları ve sermaye yeterliliğini düzenlemektedir. Lisans süreci için SPK kripto lisansı rehberimize bakılabilir.
• MASAK Genel Tebliği (Sıra No: 28) (RG 12.06.2025, S. 32924), 19 sıra numaralı tebliğde değişiklik yaparak KVHS için uzaktan kimlik tespitini düzenlemiş ve ad, soyad, doğum tarihi, T.C. kimlik numarası ile adres bilgisinin Nüfus ve Vatandaşlık İşleri Kimlik Paylaşımı Sistemi üzerinden doğrulanmasını öngörmüştür.
• MASAK Genel Tebliği (Sıra No: 29) (RG 28.06.2025, S. 32940) transferlere sürtünme getirmiştir: çekim işlemleri, transfer edilecek varlığın alım, takas veya yatırma işleminden en az 48 saat sonra gerçekleştirilir; ilk çekim işlemlerinde bu süre en az 72 saattir. İstikrarlı bir değeri korumayı amaçlayan kripto varlıkların çekimlerinde günlük 3.000 ABD doları ve aylık 50.000 ABD doları karşılığı limit uygulanır; Tedbirler Yönetmeliği’nin ilgili hükmünün uygulanması hâlinde bu limitler iki kat olarak uygulanabilir. Ayrıca tüm transferlerde müşteriden en az 20 karakter uzunluğunda bir işlem açıklaması alınması zorunludur.

Uluslararası düzlemde FATF’in 2025 tarihli hedefli güncellemesi, ankete katılan yargı çevrelerinin %73’ünün (117 yargı çevresinden 85’i) transfer kuralına ilişkin mevzuatı çıkardığını; ancak bunların %59’unun (85’ten 50’si) henüz bir yaptırım talimatı yayımlamadığını bildirmiştir. 2026 güncellemesinde mevzuat oranı %83’e yükselmiştir. Tablo açıktır: kural yaygınlaşmakta, uygulama geride kalmaktadır — ve bu boşluk, zincirler arası aklamanın hareket alanını belirlemektedir.

Sıkça sorulan sorular

Cüzdan kümeleme nedir?

Cüzdan kümeleme, aynı kişinin denetiminde olduğuna dair zincir üstü kanıt bulunan kripto adreslerini tek bir analiz birimi hâlinde birleştirme yöntemidir. Kimlik bilgisi kullanmaz; yalnızca işlemlerin yapısal ve davranışsal izlerine bakar. Çıktısı, tek bir cüzdan gibi izlenebilen bir adres kümesidir. Kümeleme ortak denetimi gösterir, kimlik göstermez.

Kripto para gerçekten takip edilebilir mi?

Evet. Bitcoin ve Ethereum gibi ağlar anonim değil takma adlıdır; tüm işlemler kalıcı olarak kaydedilir ve herkese açıktır. Takip, işlemlerin görülmesiyle değil, adreslerin kümelenip bir kimliğe bağlanmasıyla anlam kazanır. Mikserler, gizlilik odaklı ağlar ve zincirler arası köprüler takibi zorlaştırır; ancak çoğu zaman kendi izlerini bırakır.

Blok zinciri analizi raporu Türkiye’de delil olarak kabul edilir mi?

Kabul edilebilir, ancak koşulsuz değildir. CMK m. 217/2 uyarınca suç, hukuka uygun elde edilmiş her türlü delille ispat edilebilir. Rapor bir bilirkişi ürünüyse CMK m. 63, 66 ve 67 hükümlerine tâbidir; m. 67/3 bilirkişinin hukukî nitelendirme yapmasını yasaklar. Rapora dayanak cihaz verisi CMK m. 134 usulüne aykırı elde edilmişse, Anayasa m. 38/6 ve CMK m. 206/2-a uyarınca delil reddedilebilir.

Kümeleme hatalı olabilir mi, oranı nedir?

Evet. Ortak girdi sezgiselinin gerçek cüzdanlara karşı ölçülmüş kesinliği yaklaşık %90,79, duyarlılığı %79,76’dır. Para üstü sezgiselinin ilk hâlinde yanlış pozitif oranı %13 olarak bildirilmiştir. Bir başka çalışmada standart bir sezgiselin yanlış keşif oranı %12,7 ölçülmüştür. Ticari yazılımların yayımlanmış hata oranı ise bulunmamaktadır; bir Amerikan federal mahkemesi bu durumu 2024 yılında açıkça tespit etmiştir.

Cüzdan kümeleme ile kimliklendirme arasındaki fark nedir?

Kümeleme adresleri ortak denetim ölçütüne göre gruplar ve tamamen zincir üstü veriyle yapılır. Kimliklendirme ise kümeye gerçek bir ad atar ve mutlaka zincir dışı delil gerektirir: platform KYC kaydı, elkoyma verisi, mağdur beyanı veya resmî liste. Kimlik tespiti için ikisi birlikte gereklidir; yalnız kümeleme hiçbir kişiyi göstermez.

CoinJoin veya mikser kullanmak kümelemeyi bozar mı?

Ortak girdi sezgiselini bozar ve hatta ters yönde hata üretir: birbirinden habersiz katılımcıları tek kümede birleştirir. Bu nedenle ciddi analizlerde bu işlemler kümeleme öncesinde ayıklanır. Ancak karıştırma mutlak bir kalkan değildir; işlem entropisi ve tutar analizleriyle bazı bağlantıların olasılığı 1,0 düzeyinde kalabilmektedir.

Monero izlenebiliyor mu?

Yayımlanmış yüksek izlenebilirlik oranlarının tamamı RingCT öncesi döneme veya belirli yazılım hatalarına aittir. RingCT sonrası ve 2023 sonrası Monero için yinelenebilir, genel bir kırılma yöntemi yayımlanmamıştır. İzleme belirli hâllerde mümkündür: geçmiş dönem işlemleri, cüzdan hataları, havuz yapıları, taşkın saldırıları ve her şeyden önce giriş–çıkış noktalarındaki kimlik doğrulamalı platformlar.

Borsa hesabım bloke edildi, kümeleme yüzünden olabilir mi?

Mümkündür. Adresinizin, risk etiketi taşıyan bir kümeyle temas ettiği değerlendirmesi bloke gerekçesi olabilir. Ancak temas, suçluluk anlamına gelmez; tozlama yoluyla rızanız dışında gönderilen küçük tutarlar bile tarama sistemlerinde iz bırakabilir. Blokenin hukukî dayanağı (5549 m. 19/A, CMK m. 128/A veya savcılık kararı) tespit edilip buna uygun yol izlenmelidir.

CMK m. 128/A ile hesabım kaç saat askıya alınabilir?

Banka, ödeme hizmeti sağlayıcısı veya kripto varlık hizmet sağlayıcısı, maddede sayılan suçlarda makul şüphe hâlinde hesabı kendi kararıyla kırk sekiz saate kadar askıya alabilir. İşlem derhâl Cumhuriyet başsavcılığına ve hesap sahibine bildirilir. Hesap sahibi kaldırma için başsavcılığa başvurabilir; savcı yirmi dört saat içinde karar verir.

Bilirkişi raporuna nasıl itiraz edilir?

CMK m. 67/6, şüpheli, sanık, müdafi, katılan ve vekilin rapor hakkında uzmanından bilimsel mütalaa alabileceğini ve sadece bu nedenle ayrıca süre istenemeyeceğini düzenler. Mütalaa, raporun hangi sezgiselleri kullandığını, küme büyüklüğünü, karıştırma işlemlerinin ayıklanıp ayıklanmadığını ve sonucun bir güven derecesiyle ifade edilip edilmediğini hedef almalıdır.

Türkiye’de kripto varlık analizine ilişkin emsal karar var mı?

Blok zinciri analizinin metodolojisini doğrudan tartışan yerleşik bir içtihat bulunmamaktadır; Anayasa Mahkemesi bireysel başvuru veri tabanında “kripto varlık” ibaresi geçen karar yoktur. Buna karşılık dijital delil standardı bakımından Yargıtay Ceza Genel Kurulu’nun E. 2025/94, K. 2025/227 sayılı kararı ile soruşturmanın asgari kapsamı bakımından Yargıtay 11. Ceza Dairesi’nin E. 2026/538, K. 2026/6490 sayılı kararı doğrudan uygulanabilir niteliktedir.

Kripto adresi kişisel veri sayılır mı?

Adresin tek başına bir gerçek kişiyle ilişkilendirilebildiği hâllerde kişisel veri niteliği taşıyabilir. Yargı makamlarının soruşturma ve kovuşturma kapsamındaki işlemleri 6698 sayılı Kanun m. 28/1-d ile tam istisna kapsamındadır. Ancak analiz raporunu hazırlayan özel şirket veya bağımsız uzman yargı makamı olmadığından bu tam istisnadan yararlanamaz; en fazla m. 28/2-a’daki kısmî istisna gündeme gelir.

Sonuç

Cüzdan kümeleme, kripto varlık soruşturmalarının belkemiğidir ve işe yarar. Binlerce adresten oluşan bir gürültüyü, üzerine müzekkere yazılabilecek birkaç noktaya indirir. Ancak yöntemin doğası olasılıksaldır ve bu, bir kusur değil bir tanımdır. Meiklejohn ve arkadaşları 2013’te 1,6 milyon açık anahtarlık hatalı bir süper küme üretmiş ve bunu kendi makalelerinde yazmışlardır; Möser ve Narayanan 2022’de 223,9 milyon adreslik bir şişmeyi ölçüp kısıtlarla %10’a indirmişlerdir. Bu şeffaflık akademide vardır; ticari yazılımlarda büyük ölçüde yoktur.

Hukukun görevi bu farkı görünür kılmaktır. Bir mahkeme, kümeleme yazılımının hata oranı yayımlanmamış olmasına rağmen delili kabul edebilir; başka bir mahkeme, uzmanın kendi yöntemine sadık kalmaması nedeniyle aynı türden bir analizi reddedebilir. İkisi de 2024 yılında oldu. Belirleyici olan teknoloji değil, yöntemin belgelenmiş, tekrarlanabilir ve bağımsız olarak sınanabilir olmasıdır.

Türkiye bakımından tablo şudur: elkoyma ve askıya alma yetkileri 2024–2026 döneminde hızla güçlendi (7518 sayılı Kanun, CMK m. 128/A, MASAK tebliğleri); dijital delil standardı Yargıtay Ceza Genel Kurulu tarafından netleştirildi; bilirkişilik listesine blok zinciri alt uzmanlık alanı eklendi. Buna karşılık analitiğin güvenilirliğine ilişkin yerleşik bir içtihat henüz oluşmadı ve CMK m. 134’ün iptali 25.02.2027’de yürürlüğe girecek. Önümüzdeki dönemde bu boşluğu dolduracak olan, dosyalarda ileri sürülecek teknik itirazların kalitesi olacaktır. Bir kümeleme raporunu okumayı bilen, onun nerede durduğunu da bilir: küme bir ihtimaldir, kimlik ise ancak zincir dışı delille kurulur.

Son güncelleme: 20.09.2026

Genel bilgilendirme amacıyla hazırlanmıştır; somut olaya ilişkin hukukî görüş yerine geçmez. Metinde anılan teknik ölçümler kamuya açık akademik çalışmalara, mevzuat ve karar künyeleri ise resmî kaynaklara dayanmaktadır.