Kendi Kripto Borsanız: Müşteri Varlıklarını Sıcak ve Soğuk Cüzdanlarda Saklamak, Para Çekme İşlemlerini Kontrol Etmek ve AB Kurallarına Uymak

İşlem ekranını tasarlamadan önce müşteri varlıklarının nasıl saklanacağına karar verin. Müşterilerinizin kriptolarının büyük kısmını, anahtarları internete bağlı hiçbir bilgisayara değmeyen soğuk cüzdanlarda tutun ve bunlardan çıkan her transfer için birkaç kişinin onayını şart koşun. Küçük bir sıcak cüzdan günlük para çekme işlemlerini öder ve soğuk depolamadan üst sınırı olan planlı transferlerle doldurulur. Her para çekme işlemi, biri onu imzalamadan önce kontrollerden geçer. AB'de borsanın ayrıca MiCA kapsamında yetki alması ve transferlerle birlikte gönderen ile alıcının bilgilerini iletmesi gerekir.

Bir kripto borsasının matching engine dışında neye ihtiyacı vardır?

Matching engine alış ve satış emirlerini eşleştirir. Bir borsa onun etrafında birkaç sistem daha çalıştırır:

• Her müşterinin her coinden ne kadar sahibi olduğunu kaydeden ve her işlemde, para yatırmada ve para çekmede değişen bir iç defter
• Para yatırma işlemleri: her müşteri için bir adres ve her blokzinciri izleyip yeterli onaya ulaşan bir yatırmayı hesaba geçiren yazılım
• Coinlerin kendisini tutan cüzdanlar: aşağıda açıklanan sıcak, ılık ve soğuk cüzdanlar
• Para çekme işlemleri: kontroller, imzalama ve her transferin ağa gönderilmesi
• Müşteriler ile onların gönderdiği ve aldığı adresler üzerinde kimlik ve kara para aklamayla mücadele kontrolleri

İki müşteri arasındaki bir işlem yalnızca iç defteri değiştirir. Coinler blokzincirinde yalnızca bir müşteri para yatırdığında veya çektiğinde hareket eder. Bu yüzden borsanın adreslerindeki coinlerin, defterde müşterilere ait görünen tutarı karşılaması gerekir. Borsayı kuran firmaya bu karşılaştırmanın her gün nasıl yapıldığını ve rakamlar tutmadığında ne olduğunu sorun.

Sıcak cüzdanlarda ne kadar, soğuk cüzdanlarda ne kadar tutulmalı?

Sıcak cüzdan anahtarlarını internete bağlı bir sunucuda tutar, bu yüzden para çekme işlemlerini bir insan olmadan imzalayabilir. Bu hız aynı zamanda onun riskidir: Sunucuyu ele geçiren herkes de imza atabilir. Soğuk cüzdan anahtarlarını çevrimdışı tutar ve ondan yapılan bir transfer genellikle birkaç kişinin onayını gerektirir. Ilık cüzdan ikisinin arasındadır: Yaygın bir kurulumda çevrimiçidir, ama her transferi bir insan onaylar.

Sıcak cüzdanda yalnızca normal bir para çekme gününün gerektirdiği kadarını tutun ve onu soğuk depolamadan sabit bir üst sınırı olan planlı transferlerle doldurun. Her borsaya uyan bir oran yoktur. Oran, müşterilerin ne kadar çektiğine ve coinlerini ne kadar hızlı beklediklerine bağlıdır, bu yüzden kuran firmadan bunu sizin beklediğiniz hacimlere göre hesaplamasını isteyin.

MiCA, AB'nin kripto varlıklara ilişkin regülasyonudur: Bu makaledeki diğer kaynaklar gibi 27 Ekim 2026'da okunan (AB) 2023/1114 sayılı Tüzük. Hedefi tanımlar, yöntemi firmaya bırakır. 75. maddesi, müşterilerinin kripto varlıklarını tutan bir firmadan bir saklama politikası olmasını ister. Bu politikanın “dolandırıcılık, siber tehditler veya ihmal nedeniyle müşterilerin kripto varlıklarının, bu kripto varlıklarla ilgili hakların veya kripto varlıklara erişim araçlarının kaybedilmesi riskini en aza indirmesi” gerekir. Aynı madde, “dağıtık defter üzerinde müşterilerinin kripto varlıklarının kendi kripto varlıklarından ayrı tutulmasını” şart koşar. Yani borsanın kendi coinleri ile müşterilerinin coinleri farklı adreslerde durur.

Bybit hırsızlığı soğuk cüzdanlar hakkında neyi gösterdi?

21 Şubat 2025'te kripto borsası Bybit, kendi deyişiyle “Ethereum çoklu imzalı soğuk cüzdanlarımızdan birinden ılık bir cüzdana rutin bir transfer” yaptı. Çoklu imzalı bir cüzdan, bir transferi onaylamak için birkaç anahtara ihtiyaç duyar. Onaylayıcılar normal bir transfer gibi görünen bir işlemi imzaladı, ama işlem cüzdanın kendi mantığını değiştirdi ve cüzdanın kontrolünü saldırganlara verdi. Bybit kaybı 1,46 milyar dolar olarak açıkladı. FBI kaybı yaklaşık 1,5 milyar dolar olarak belirledi ve sorumlunun Kuzey Kore olduğunu söyledi.

Bybit'in yayımladığı olay zaman çizelgesi, Sygnia Labs ve Verichains'in ön raporlarına atıf yapıyor. Raporlar, imzacıların kullandığı dış hizmet olan “Safe{Wallet} platformundaki kötü amaçlı JavaScript koduna” işaret etti ve Bybit'in kendi altyapısında hiçbir güvenlik açığı bulmadı. Onaylar hırsızlığı durdurmadı, çünkü imzacılara gösterilen şey, imzaladıkları şey değildi.

Yeni bir borsa için ders, onayların yalnızca sayısıyla değil, nasıl işlediğiyle ilgilidir:

• Her onaylayıcı, transferin ayrıntılarını web arayüzünün kontrol etmediği bir cihazda, örneğin bir donanım imza cihazının ekranında kontrol eder
• Soğuk depolamadan yapılan bir transferin üst sınırı vardır, böylece onaylanmış tek bir işlem koca bir cüzdanı boşaltamaz
• Biri soğuk cüzdanları günün her saati izler ve para çekme işlemlerini durdurabilir

Bir para çekme işlemi imzalanmadan önce nasıl kontrol edilmeli?

Bir para çekme talebi, herhangi bir anahtar onu imzalamadan önce yazılımdaki kontrollerden geçmelidir:

• Müşterinin iç defterdeki bakiyesi tutarı ve ağ ücretini karşılar
• Tutar, müşterinin günlük limitine ve tek transfer limitine uyar
• Adres, müşterinin kayıtlı adresler listesindedir ya da yeni bir adres için bekleme süresi uygulanır
• Adres, yaptırım uygulanan ve yüksek riskli adres listeleriyle karşılaştırılır
• Transfer kurallarının istediği bilgiler toplanır ve transferle birlikte gönderilir

Tüm kontrolleri geçen küçük para çekme işlemlerini sıcak cüzdan otomatik olarak imzalayabilir. Büyük olanlar, bunları ılık ya da soğuk cüzdandan onaylayan kişilere gider. Transfer gönderildikten sonra sistem ağdaki onayları bekler ve ancak ondan sonra para çekme işlemini iç defterde tamamlandı olarak işaretler.

AB Travel Rule bir borsadan ne ister?

Sık sık Travel Rule diye anılan (AB) 2023/1113 sayılı Tüzük “30 Aralık 2024'ten itibaren” uygulanıyor. Kripto gönderen müşterinin borsasının iki tarafın bilgilerini de iletmesini şart koşar. Gönderen için bu bilgiler “göndericinin adını” ve göndericinin blokzincir adresiyle hesap numarasını kapsar. Bunlara ayrıca “ülke adı dahil göndericinin adresi, resmi kişisel belge numarası ve müşteri kimlik numarası ya da alternatif olarak göndericinin doğum tarihi ve doğum yeri” de girer. Alıcı için ise adı, blokzincir adresini ve hesap numarasını kapsar.

Bilgilerin “kripto varlık transferinden önce ya da transferle eş zamanlı veya onunla birlikte” gönderilmesi gerekir, ama blokzincir işleminin kendisine eklenmeleri gerekmez. Borsalar bu bilgileri birbirlerine ayrı mesajlaşma hizmetleri üzerinden iletir, bu yüzden kuran firmanın sizin borsanızı bu hizmetlere bağlaması gerekir.

Müşterinin kendisinin kontrol ettiği ve tüzüğün kendi kendine barındırılan adres dediği bir cüzdana yapılan para çekme işlemleri için bir kural daha vardır. Bu kural “1.000 EUR'yu aşan bir tutarın kendi kendine barındırılan bir adrese transferini” kapsar. Böyle bir transferde borsanın “o adresin göndericiye ait olup olmadığını veya onun kontrolünde olup olmadığını değerlendirmek için uygun önlemleri alması” gerekir. Yaygın bir yol, müşteriden adresi kontrol ettiğini kanıtlamasını istemektir, örneğin o adresle kısa bir mesaj imzalatarak.

Bir kripto borsasının AB'de hangi lisansa ihtiyacı vardır?

MiCA kapsamında kripto varlıklar için bir alım satım platformu işletmek bir kripto varlık hizmetidir ve firmanın kripto varlık hizmet sağlayıcısı olarak yetki alması gerekir. Bu hizmet, tüzüğün IV. Ekindeki üç sermaye sınıfının en yükseğine girer ve asgari sermaye şartı 150.000 EUR'dur.

Bu tür hizmetleri 30 Aralık 2024'ten önce ulusal hukuk kapsamında sunan firmalar, bir geçiş rejimi altında faaliyetlerine devam edebiliyordu. Bu rejim “1 Temmuz 2026'ya kadar ya da kendilerine yetki verilene veya yetki reddedilene kadar”, hangisi önce gelirse, sürdü. O tarih geçti. AB'de müşteri isteyen bir borsa yetkiyi en baştan planlamalıdır.

MiCA yazılımı da şekillendirir. 75. madde şunları ister:

• Her müşteriyle bir saklama sözleşmesi
• Her müşterinin pozisyonlarının bir sicili
• “En az üç ayda bir” pozisyon dökümü
• Müşterilerin kripto varlıklarını “mümkün olan en kısa sürede” iade etme prosedürleri

Firma, kendisine atfedilebilen olaylardan doğan kayıplardan sorumludur ve bu sorumluluk “kaybın gerçekleştiği andaki kaybedilen kripto varlığın piyasa değeriyle sınırlıdır”. 70. madde, müşterilerin avro veya başka para birimlerindeki parasıyla ilgili bir kural ekler. Firma kendisi bir banka, ödeme kuruluşu veya elektronik para kuruluşu değilse bu paranın bir sonraki iş gününün sonuna kadar “bir kredi kuruluşuna veya bir merkez bankasına” yatırılması gerekir.

AB dışında kurallar ülkeye göre değişir ve bu yazı hukuki tavsiye değildir. Nerede kayıt olacağınıza karar vermeden önce hizmet vermeyi planladığınız her pazarda bir avukata danışın.

Kendi cüzdanlarınız mı, bir saklama sağlayıcısı mı?

Üç yaygın kurulum vardır:

• Kendi cüzdanlarınız: Her adımı ve her maliyeti siz kontrol edersiniz, ama tüm riski, denetimleri ve anahtarları koruyan kişileri de siz üstlenirsiniz
• Bir saklama sağlayıcısı: Anahtarları saklamak ve imzalamak onun işidir, ama her para çekme işlemi onun sistemlerine ve ücretlerine bağlıdır
• İkisi birden: Hız için sıcak cüzdanlar şirket içinde, müşteri varlıklarının büyük kısmı için soğuk depolama bir sağlayıcıda

MiCA kapsamında, bir borsa adına müşterilerin kripto varlıklarını tutan sağlayıcının kendisinin de yetkili olması gerekir. 75. madde bir firmanın yalnızca “59. maddeye uygun olarak yetkilendirilmiş” sağlayıcıları kullanmasına izin verir ve firma, böyle bir sağlayıcı kullandığını müşterilerine bildirmek zorundadır.

Beyaz etiketli bir borsada, sağlayıcının hangi kurulumu kullandığını ve anahtarların kimde olduğunu sorun. Anahtarlar sağlayıcıdaysa, müşterilerinizin coinleri sizin kontrol etmediğiniz bir şirkete bağlıdır.

Borsa cüzdanlarını kuran bir firmaya ne sorulmalı?

• Anahtarlar nerede oluşturuluyor ve nerede saklanıyor, her cüzdandan yapılan bir transferi kaç kişi onaylıyor?
• Her onaylayıcı, web arayüzüne güvenmeden neyi imzaladığını nasıl kontrol ediyor?
• İç defter her blokzincirindeki bakiyelerle nasıl ve ne sıklıkla karşılaştırılıyor?
• Bir blokzinciri bölündüğünde ya da bir token yeni bir sürümle değiştirildiğinde müşterilerin bakiyelerine ne oluyor?
• Travel Rule bilgileri diğer borsalara nasıl ulaşıyor ve eksik olduklarında ne oluyor?
• Bugün çalışan bir sistemde para çekme akışını gösterebilir misiniz?

Blokzinciri bölünmeleriyle ilgili soru MiCA yüzünden önemlidir. Müşteriler, böyle bir değişiklikle yeni ortaya çıkan her kripto varlık üzerinde, borsayla yaptıkları sözleşmede aksi belirtilmedikçe, pozisyonları oranında hak sahibidir.

amBrain nerede devreye girer?

Bu blogu yayımlayan amBrain, işinin bu kısmını tek satırla şöyle anlatıyor: “amBrain kripto borsaları geliştirir: matching engine, cüzdanlar, para yatırma ve çekme.” amBrain 2019'dan bu yana yazılım geliştiriyor ve üç formatta çalışıyor: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler. Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.”

Bu yazı bir vaka çalışması değildir ve hiçbir müşteri çalışmasını anlatmaz. amBrain'in hangi borsaları, kimin için kurduğunu ya da bunların cüzdanlarının nasıl kurulduğunu söylemez ve fiyat veya süre vermez. Hukuki tavsiye de değildir. amBrain kısa listenizdeyse, ona da diğer her firmaya sorduğunuz soruları sorun.