Yazar: Av. Ahmet Karaca · İlk yayın ve kaynak kontrolü:
Bir bilgisayarda Bitcoin bakiyesi, adres listesi ve işlem geçmişi görülebilir; buna rağmen bilgisayarda o varlıkları harcayacak özel anahtar bulunmayabilir. Watch-only, yani yalnız izleme cüzdanı, takip ettiği Bitcoin işlemlerini gösterebilir; bu görüntü tek başına imzalama yetkisini, geçmiş transferi yapan kişiyi veya hukuki hak sahibini kanıtlamaz. Aynı nedenle, bir klasörde wallet.dat bulunması da “bu bilgisayarın sahibi bütün bakiyeye sahiptir” sonucuna yetmez.
Bu ayrım, ceza soruşturmasında cihaz incelemesini, şirket içi hesap denetimini ve bir yedek dosyadan erişim sağlama beklentisini doğrudan etkiler. İncelemenin ilk sorusu, ekranda kaç Bitcoin yazdığı kadar, o ekranın hangi veriyle oluşturulduğudur.
Yazının bölümleri
Watch-only cüzdan ne yapar?
Yalnız izleme cüzdanı, özel anahtar yerine izlenecek adresleri veya bunların türetilmesini sağlayan açık anahtar bilgilerini kullanır. Gelen ve giden zincir hareketlerini takip edebilir. Uygun bir uygulamada imzasız işlem hazırlamak da mümkündür; ancak bu işlem, gerekli imzalar sağlanmadan geçerli bir Bitcoin harcamasına dönüşmez. Electrum’un soğuk saklama belgesi, çevrimiçi izleme cüzdanı ile işlemi imzalayan çevrimdışı cüzdanı bu nedenle ayrı ele alır.
Dolayısıyla “Gönder” sekmesinin bulunması veya bir işlem taslağı oluşturulması yeterli değildir. Dosya yalnız izleme amacı taşıyabilir; imzalama başka bilgisayarda, donanım cihazında veya birden fazla imzacının katıldığı düzende yapılabilir. Buradaki açıklama Bitcoin’in zincir üstü işlemleri içindir; aynı uygulamanın ek ödeme özellikleri ayrıca incelenmelidir.
Bu kullanımın olağan sebepleri vardır. Muhasebe personeli şirketin tahsilatlarını izlerken ödeme anahtarlarını tutmayabilir. Bir mağdur kendisine ait olmayan alıcı adresini takip etmek için ekleyebilir. Başka bir kullanıcı, çevrimdışı sakladığı cüzdanın bakiyesini günlük bilgisayarından görmek isteyebilir. Adresin ekranda bulunması araştırmaya değer bir bağdır; bağın niteliği ayrıca belirlenir.
Bulunan kayıt hangi sonucu destekler?
| Bulunan kayıt | Destekleyebileceği tespit | Ayrıca araştırılması gereken |
|---|---|---|
| Cüzdan ekranı veya adres listesi | Belirli adreslerin uygulamada görüntülendiği | Verinin kaynağı, ağ, sorgu zamanı ve izleme amacıyla eklenip eklenmediği |
| Yalnız adres içeren izleme dosyası | O adreslerin hareketlerini takip etme imkânı | İmzalama anahtarının başka yerde bulunup bulunmadığı; dosyayı kimin kullandığı |
| xpub veya benzeri genişletilmiş açık anahtar | Kapsadığı dalda türetilebilen adresler arasında matematiksel bağlantı | Türetme kapsamı, ilgili hesaplar ve bilginin cihaza hangi amaçla geldiği |
| Özel anahtar içeren cüzdan dosyası | Dosyanın kapsamındaki anahtarlarla imzalama imkânı bulunabileceği | Şifreleme, harcama koşulları, ek imzalar, olay tarihindeki erişim ve anahtarın kopyaları |
| Donanım imzalayıcıyla bağlantılı cüzdan | İmzalamanın harici cihazla yürütüldüğü bir düzen bulunduğu | Cihazın erişilebilirliği, gerekli onaylar ve işlemi fiilen kimin onayladığı |
| Yerel adres etiketi veya işlem açıklaması | Uygulamaya belirli bir açıklama kaydedildiği | Açıklamanın kim tarafından, ne zaman ve hangi kaynağa dayanarak yazıldığı |
Tablonun son sütunu atlanırsa aynı bulgu olduğundan daha güçlü gösterilir. Örneğin bir adresin yanındaki kişi adı, blockchain’in o kişi hakkında verdiği bir kimlik bilgisi değildir. Yerel bir not olabilir. Dosyanın özel anahtar içermesi ise önemli bir teknik bulgu olmakla birlikte, şirket veya müşteri varlığının o anahtarı kullanan kişiye ait olduğunu göstermez. Cüzdan kontrolünün mesaj imzasıyla gösterilmesi de kimlik, hukuki hak sahipliği ve geçmiş işlem bakımından ayrı sınırlar taşır.
wallet.dat dosyası neden tek başına yeterli değildir?
wallet.dat, Bitcoin Core ile ilişkilendirilen bir cüzdan dosyası adıdır. Eski yedeklerde anahtarlar, adreslere ilişkin bilgiler, etiketler ve işlem kayıtları bulunabilir. Ancak dosya adı; içeriğin sağlam olduğunu, özel anahtar içerdiğini, bütün hesapları kapsadığını veya güncel bakiyeyi gösterdiğini kanıtlamaz. Kopyanın ne zaman alındığı ve hangi yazılım düzeninden geldiği önemlidir.
Bir dosyanın şifreli olması ile yalnız izleme dosyası olması da farklıdır. Şifre, mevcut gizli bilginin kullanımını koruyabilir. Özel anahtar içermeyen bir dosyaya şifre girilmesi ise eksik imzalama anahtarını yaratmaz. Tersine, bilgisayarda özel anahtar bulunmaması, kullanıcının harici bir imzalama cihazıyla hiçbir işlem yapamayacağını da tek başına göstermez.
Bitcoin Core’un 30.0 cüzdan durum belgesi, özel anahtarların etkin olup olmadığını, harici imzalayıcı kullanımını ve descriptor yapısını ayrı alanlarla tanımlar. Descriptor, hangi anahtar ve harcama kurallarıyla hangi çıktıların izlendiğini açıklayan bir tanımlama biçimidir; her descriptor’ın özel anahtar içerdiği varsayılmaz. Teknik raporda bu alanlar birlikte ve kullanılan sürümün anlamlarıyla değerlendirilmelidir.
Sürüm farkı, dosyanın açılmasında da önem taşır. Bitcoin Core 30.0 sürüm notları, eski BDB cüzdanlarının doğrudan oluşturulması ve yüklenmesi desteğinin kaldırıldığını, descriptor biçimine geçiş imkânını açıklar. Eski bir dosyanın güncel uygulamada açılmaması, tek başına dosyanın sahte veya boş olduğu sonucunu vermez. Delil niteliğindeki asıl dosyayı “çalışır hâle getirmek” için dönüştürmek yerine önce mevcut hâli korunmalı; gerekli uyarlama gerekçesi ve inceleme kopyası üzerindeki işlemler kaydedilmelidir.
xpub özel anahtar değildir; yine de neden korunmalıdır?
xpub, genişletilmiş açık anahtarın yaygın bir gösterimidir. BIP-32, uygun kapsamda alt açık anahtarların özel anahtara erişmeden türetilebilmesini sağlar. Bu, bir denetçinin ödeme hareketlerini izlemesine veya bir sistemin tahsilat adresleri oluşturmasına imkân verebilir. Türetme imkânı anahtar ağacının belirli dallarıyla sınırlıdır; her xpub bütün hesapları veya bütün cüzdanı göstermez.
xpub’un tek başına paylaşılması, karşı tarafa ilgili Bitcoin’leri imzalama yetkisi vermez. Ancak tek bir ödeme adresini paylaşmaktan daha fazla mahremiyet kaybı yaratabilir: kapsamındaki çok sayıda adres, geçmiş hareket ve sonraki tahsilatlar birbiriyle ilişkilendirilebilir. Bu nedenle “public” sözcüğü, anahtarın herkesin erişimine açılması gerektiği anlamına gelmez.
Bir uyuşmazlıkta yalnız belirli bir tahsilatın doğrulanması gerekiyorsa, bütün hesap dalını ifşa etmek gereksiz olabilir. İstenen veri, araştırılan soruya göre sınırlanmalıdır. xpub’un incelenmesi gerekli olduğunda da hangi hesaba ve türetme kapsamına ait olduğu açıklanır; tam değer sıradan yazışmalara, herkese açık dilekçe örneklerine veya paylaşılacak rapor görsellerine gelişigüzel konulmaz.
Masaüstü cüzdan yedeği nasıl değerlendirilmelidir?
Bir yedeği değerlendirmek, onu bir uygulamaya yükleyip bakiye ekranının fotoğrafını çekmekten ibaret değildir. Önce bulunan verinin korunması, sonra hangi soruyu cevaplayabildiğinin belirlenmesi gerekir. NIST’in dijital delil muhafazası rehberi doğrultusunda kaynak, bütünlük ve teslim kayıtlarının açıklanması, daha sonra yapılacak incelemenin denetlenebilmesini sağlar.
- Kaynağı ve edinim zamanını kaydedin. Dosyanın hangi cihazdan, yedekten veya kişiden geldiği; orijinal adı ve bulunduğu konum açıklanmalıdır. Dosya tarihi, kendi başına işlemi yapan kişinin kimliğini veya gerçek oluşturulma anını kesinleştirmez.
- Aslı ile çalışma kopyasını ayırın. Dosya özeti, teslim bilgisi ve incelemede yapılan değişiklikler kaydedilir. Hash değeri bütünlük kontrolüne yardım eder; içeriğin gerçekliğini veya hukuka uygun edinildiğini tek başına ispatlamaz.
- Cüzdan modelini tanımlayın. Adres listesi, genişletilmiş açık anahtar, şifreli anahtar deposu, harici imzalayıcı bağlantısı ve çoklu imza düzeni aynı kategoride değerlendirilmemelidir.
- Görünür bakiyenin kapsamını sabitleyin. Ana ağ veya test ağı, taranan blok, senkronizasyon durumu ve ölçü birimi belirtilir. Yedek dosyanın tarihi ile güncel zincir sorgusunun tarihi ayrı kayıtlardır.
- Geçmiş kullanım bağını ayrıca araştırın. İlgili tarihteki oturum, cihaz, ödeme talimatı, şirket yetkisi veya platform kayıtlarıyla bağlantı kurulmalıdır. Bugünkü teknik erişim, geçmişteki işlemi aynı kişinin yaptığını kendiliğinden göstermez.
Bu çalışma sırasında sırf kontrolü göstermek için para göndermek, kurtarma kelimelerini bir internet sitesine yazmak veya eski dosyayı bulut hizmetine yüklemek gerekmez. İmza ya da erişim testi düşünülüyorsa hukuki yetki, kapsam ve varlığı hareket ettirmeden doğrulama imkânı önceden değerlendirilmelidir. Cihazın incelenmesinin hukuki çerçevesi için telefon ve bilgisayar verilerine ilişkin inceleme ayrıca ele alınır.
Bir şirket bilgisayarındaki Bitcoin bakiyesi nasıl yorumlanır?
Varsayımsal bir örnekte, muhasebe çalışanının bilgisayarında şirket tahsilatlarını gösteren Electrum dosyası bulunduğunu düşünelim. Dosya yalnız xpub ile hazırlanmışsa çalışan hareketleri izliyor olabilir. Şirketin ödeme imzaları ise yöneticideki donanım cihazında tutuluyor olabilir. Bu durumda bilgisayardaki bakiye, çalışanın şirket parasıyla bağlantılı bir kayıt tuttuğunu gösterir; tek başına parayı transfer edebildiğini veya kişisel hak sahibi olduğunu göstermez.
Sonradan izinsiz çıkış gerçekleştiği iddiasında yalnız bu dosyaya bakılarak fail belirlenemez. İşlemin hangi imzalama düzeninden geçtiği, gerekli cihaz veya ortak imzaların kimlerde bulunduğu, olay tarihindeki erişim kayıtları ve ödeme talimatı birlikte araştırılır. Dosyanın yalnız izleme niteliğinde olması da başka cihaz, hesap veya yetki üzerinden katılım ihtimalini otomatik olarak dışlamaz. Araştırma her iki yöndeki olasılığı mevcut delille sınamalıdır.
Teknik raporun sonucu bu nedenle somut olmalıdır: Hangi dosyada hangi adres bilgisi bulundu? Dosya yerel imzalama anahtarı içeriyor muydu? Harici imzalama düzeni var mıydı? Olay tarihindeki kişi bağlantısı hangi kayda dayanıyordu? Kripto teknik uzman raporunda bu cevaplar dayanaklarıyla gösterildiğinde, ekranda görünen bir bakiyeden gerekçesiz bir mülkiyet veya suç isnadına geçilmesi önlenebilir.
Kaynakların kapsamı ve inceleme tarihi
Bu yazı, Avrupa Konseyi iPROCEEDS-2 kapsamında hazırlanan 10 Şubat 2021 tarihli Kripto Paralara El Koyma Kılavuzu’nun cüzdan, anahtar ve masaüstü dosyalarına ilişkin bölümlerinden hareketle hazırlanmıştır: basılı s. 10–13 ve 26–37; PDF s. 15–18 ve 31–42. Kılavuzun eski yazılım ekranları güncel kullanım talimatı olarak alınmamış; teknik ayrımlar yukarıda bağlantısı verilen Electrum, BIP-32, Bitcoin Core 30.0 ve NIST belgeleriyle karşılaştırılmıştır. Teknik kaynak kontrol tarihi: 20 Ekim 2026.
Aranan sorun bakiyenin delil değerinden ziyade uygulamada hiç görünmemesi ise, cüzdanda görünmeyen bakiyenin zincir kaydıyla karşılaştırılması gerekir. Görüntüleme hatası, özel anahtara erişememe ve zincirde gerçekleşmiş çıkış ayrı sorunlardır.
