Kendi Kripto Borsanızı Kurmak: White-Label Yazılım, Lisanslı Bir Borsa Motoru ya da Kendi Geliştirdiğiniz Sistem

Merkezi bir kripto borsası, müşterilerinin coinlerini ve parasını tutar. Müşterilerin alış ve satış emirlerini, işlem görmeyi bekleyen emirlerin canlı listesi olan kendi emir defterinde eşleştirir. Yazılımı üç yoldan edinebilirsiniz. Bir sağlayıcı kendi borsa yazılımını sizin için sizin markanızla işletebilir; buna white-label denir. Bir borsa motorunu lisanslayıp kontrol ettiğiniz sunucularda çalıştırabilirsiniz. Ya da mühendisler sistemi sizin tasarımınıza göre geliştirebilir ve kodun sahibi siz olabilirsiniz. Seçim büyük ölçüde sistemi günün her saatinde kimin işletebileceğine ve borsanın ne kadarını kontrol etmeniz gerektiğine bağlıdır. Hangi yolu seçerseniz seçin, düzenleyici lisansı elinde tutan firma müşterilerine ve düzenleyicisine hesap verir.

Bir kripto borsası kurmanın üç yolu nedir?

• White-label borsa. Bir sağlayıcı, borsa yazılımını kendi sunucularında çalıştırır ve müşterilerinize sizin markanızla sunar. Kod sağlayıcıda kalır; cüzdanları da sağlayıcı işletebilir.
• Lisanslı borsa motoru. Bir tedarikçiye yazılımını kullanma hakkı için ödeme yaparsınız ve ekibiniz bu yazılımı kontrol ettiğiniz sunucularda çalıştırır. Pakete, alış ve satış emirlerini eşleştiren bölüm olan matching engine de dahildir.
• Kendi geliştirdiğiniz sistem. Borsayı kendi mühendisleriniz ya da anlaştığınız bir firma sizin tasarımınıza göre yazar. Sözleşmede yazıyorsa kodun sahibi siz olabilirsiniz.

Bu yazıda iki tür lisanstan söz ediliyor. Yazılım lisansı, bir tedarikçinin kodunu kullanmanıza izin verir. Düzenleyici lisans ise şirketinizin bir borsa işletmesine izin verir. Birincisi için ödeme yapmak size ikincisini kazandırmaz.

Bir kripto borsasının hangi lisansa ihtiyacı vardır?

AB'de lisans, kripto varlık piyasalarına ilişkin (AB) 2023/1114 sayılı Tüzük olan MiCA'dan gelir. MiCA, “kripto varlıklar için bir işlem platformunun işletilmesini” bir kripto varlık hizmeti olarak sayar. Yeni bir firmanın bu hizmeti AB'de sunabilmesi için önce kripto varlık hizmet sağlayıcısı (CASP) olarak yetki alması gerekir.

İşlem platformu, MiCA'nın IV. Ekindeki üç sermaye sınıfının en yükseğinde yer alır; asgari sermaye şartı 150.000 EUR'dur. Firmanın, MiCA'nın ihtiyati güvenceler adını verdiği bir finansal tampon bulundurması gerekir. Bu tampon en az bu tutar kadar olmalı; “bir önceki yılın sabit genel giderlerinin dörtte biri” daha yüksekse en az onun kadar olmalıdır. Firmanın ayrıca hizmetlerinin en azından bir kısmını sunduğu bir AB ülkesinde kayıtlı merkezi bulunmalıdır. Ana kararların alındığı yer olan fiili yönetim yeri AB'de olmalı ve yöneticilerinden en az biri AB'de yaşamalıdır.

Başvuruda “işlem platformunun işleyiş kuralları ile piyasanın kötüye kullanılmasını tespit etmeye yönelik prosedür ve sistem” açıklanmalıdır; bu yüzden yazılımın planı başvurudan önce gelir. AB'nin piyasa otoritesi ESMA, yetkilendirilmiş kripto varlık hizmet sağlayıcılarının sicilini yayımlar; bir iş ortağının AB'de yetkili olduğu iddiasını bu sicilden kontrol edebilirsiniz.

Dubai'de, Dubai Uluslararası Finans Merkezi (DIFC) dışında, Virtual Assets Regulatory Authority'nin (VARA) lisansladığı faaliyetler arasında “Exchange Services” (borsa hizmetleri) de yer alır. Kurumun sayfası, bir firmanın “Dubai Emirliği'nde ya da Dubai Emirliği'nden faaliyete başlayabilmesi için önce VARA'ya başvurup VARA'dan lisans alması gerektiğini” söylüyor.

Vadeli işlemler için lisansın ayrıca kontrol edilmesi gerekir. Yatırım kuruluşlarına ilişkin AB yasası olan MiFID II, vadeli işlem sözleşmelerini kapsadığı finansal araçlar arasında sayar. Bir tedarikçinin ürünündeki vadeli işlem modülü, bu sözleşmeleri sunma lisansını içermez; bu yüzden böyle bir modül planlamadan önce bir avukata danışın.

Bu yazıdaki tüm kaynaklara 5 Kasım 2026'da erişildi. Yazı, düzenleme konusunda yalnızca AB'den ve Dubai'den alıntı yapar. Kuralları, hizmet vermeyi planladığınız her pazarda bir avukatla teyit edin.

MiCA kapsamında borsa yazılımı neler yapmalıdır?

MiCA'nın 76. maddesi, kripto varlık işlem platformu işleten her CASP için yükümlülükler belirler ve bunların çoğu yazılıma düşer. Hangi yol seçilirse seçilsin yazılım şunları yapmak zorundadır:

• En yoğun emir hacimlerini kaldırmak ve “ciddi piyasa stresi koşullarında” da işlemlerin düzenli yürümesini sağlamak
• “Önceden belirlenmiş hacim ve fiyat eşiklerini aşan ya da açıkça hatalı olan” emirleri reddetmek
• Firmanın vakaları düzenleyiciye bildirebilmesi için piyasanın kötüye kullanılmasını önlemek ya da tespit etmek
• İşlem saatleri boyunca defterde teklif edilen fiyatları ve miktarları, her işlemin ayrıntılarını ise “teknik olarak mümkün olduğunca gerçek zamana yakın” biçimde yayımlamak
• Her emrin verilerini en az beş yıl saklamak ya da düzenleyiciye emir defterine erişim vermek

ESMA, emir defteri ve kayıt tutma verileri için standart bir yapı yayımladı; bu yapı, makinelerin okuyabildiği yaygın bir dosya formatı olan JSON'u kullanıyor. ESMA'nın MiCA sayfası, ulusal otoritelerin, formatın 28 Kasım 2025'te yayımlanmasından itibaren “6 ay içinde verileri yeni JSON dosya formatında talep etmeye başlamayı beklediğini” söylüyor. ESMA'nın gözetim sistemi MiDAS, bu verileri “potansiyel olarak şüpheli işlem davranışlarını” işaretlemek için kullanıyor. Her sağlayıcıdan ya da geliştirici firmadan bu dosyaların kendi sistemlerinden çıktığını size göstermesini isteyin.

Her yolda müşteri varlıklarını ve anahtarları kim tutar?

Bir kripto cüzdanındaki coinler ancak biri transferi cüzdanın özel anahtarlarıyla, yani cüzdanı kontrol eden gizli kodlarla imzaladığında hareket eder. MiCA, “kripto varlıkların ya da bu kripto varlıklara erişim araçlarının müşteriler adına saklanmasını veya kontrol edilmesini” saklama hizmeti olarak tanımlar; bu, bir firmanın yetki alması gereken bir kripto varlık hizmetidir.

• White-label: cüzdanları sağlayıcı işletebilir; bu durumda anahtarları sağlayıcının çalışanları ya da yazılımı kontrol eder. Örneğin HollaEx, Enterprise Cloud planında “Exchange wallet included” (borsa cüzdanı dahil) satırını listeliyor ve “seçtiğiniz bir saklama çözümünü entegre etme seçeneğinden” söz ediyor.
• Lisanslı motor: cüzdanları ekibiniz işletir ya da bir saklama sağlayıcısını bağlar; her iki durumda da coinler için müşterilere karşı firmanız sorumludur.
• Kendi geliştirdiğiniz sistem: kurulumu siz seçersiniz. Örneğin coinlerin çoğunu bir saklama sağlayıcısı tutar, ekibiniz de günlük para çekme işlemleri için kullanılan çevrimiçi cüzdanları, yani sıcak cüzdanları işletir.

Saklama hizmeti sunan bir CASP bu iş için başka bir firma kullanıyorsa, MiCA yalnızca “59. maddeye uygun olarak yetkilendirilmiş” firmaları kullanmasına izin verir. VARA'nın sayfası, Dubai'deki bir saklama kuruluşunun “bağımsız bir lisansa sahip ayrı bir tüzel kişilik olarak kurulması gerektiğini” söylüyor. Hangi yolu seçerseniz seçin, müşterilerin avro ya da dolar cinsinden paralarını şirketinizin adına açılmış ve şirketin kendi parasından ayrı tutulan banka hesaplarında saklayın. Müşteri varlıkları hakkındaki yazı cüzdanları ayrıntılı olarak ele alıyor.

İlk gün likiditeyi nasıl sağlarız?

Likidite, bir müşterinin piyasaya yakın bir fiyattan hemen işlem yapabilmesi için defterde yeterince alış ve satış emri bulunması demektir. Yeni bir borsa boş bir defterle açılır. Spread, bir alıcının teklif ettiği en yüksek fiyat ile bir satıcının istediği en düşük fiyat arasındaki farktır. Emirler azken bu fark geniştir.

Borsalar defteri şu yollarla doldurur:

• Piyasa yapıcılar: defterinizde alış ve satış emirleri tutan ve fiyatlarının birbirine ne kadar yakın kalması gerektiği bir anlaşmayla belirlenen trading firmaları. Karşılığında işlem ücretlerinde indirim, sabit bir ücret ya da ikisini birden alabilirler.
• Ortak emir defteri: bazı sağlayıcılar, kendi yazılımları üzerinde çalışan birkaç borsanın tek bir defterde işlem yapmasına izin verir; böylece farklı markaların müşterileri birbirleriyle işlem yapar.
• Likidite bağlantıları: daha büyük borsaların fiyatları sizin defterinizde görünür ve müşterinizin emri gerçekleştiğinde biri daha büyük borsada karşılık gelen bir işlem yapar. Shift Markets, Market Maker aracıyla ilgili bir yazısında “birleştirilmiş emir defterlerinden” söz ediyor; HollaEx'in fiyatlandırma sayfası ise “Liquidity included for the largest markets (Orderbooks)” (en büyük piyasalar için likidite dahil) satırını listeliyor.

Her yöntem aynı soruyu doğurur: müşterinizin işleminin karşı tarafında kimin hesabı yer alıyor? AB'de işlem platformu işleten kripto varlık hizmet sağlayıcıları “işlettikleri kripto varlık işlem platformunda kendi hesaplarına işlem yapamaz”. VARA'nın sayfası, lisanslı firmaların lisansları kapsamında “kendi hesaplarına alım satım yapmalarının yasak olduğunu” söylüyor; bu, firmanın kendi parasıyla işlem yapması demektir. Sayfa, bu tür işlemler için ayrı bir şirket kurulması gerektiğini de ekliyor. Bir sağlayıcı, HollaEx'in fiyatlandırma sayfasının Enterprise Cloud planı için listelediği gibi bir piyasa yapıcılığı botu sunuyorsa, botun kimin parasıyla işlem yaptığını sorun.

Sahte işlem hacmi de hukuki bir risktir. MiCA kapsamında piyasa manipülasyonu, meşru nedenlerle verilmedikçe, “bir kripto varlığın arzı, talebi veya fiyatı hakkında yanlış ya da yanıltıcı sinyaller veren veya vermesi muhtemel olan” işlem ya da emirleri de kapsar. Yalnızca yeni bir defteri hareketli göstermek için yapılan işlemler bu türden bir sinyal verebilir.

White-label bir borsa ne zaman doğru başlangıçtır?

Aşağıdakilerin çoğu sizin için geçerliyse white-label uygundur:

• Teknolojiye para harcamadan önce müşterilerin sizin markanızla işlem yapıp yapmayacağını öğrenmek istiyorsunuz
• Ekibinizde borsa sunucularını ve cüzdanları gece gündüz işletebilecek kimse yok
• Sağlayıcı, sunucuların nerede çalıştığından anahtarları kimin tuttuğuna kadar kurulumunun lisansınıza nasıl uyduğunu gösterebiliyor

Kontrolden vazgeçersiniz: neyin ne zaman değişeceğine sağlayıcı karar verir, müşterilerinizin emirleri ve verileri de sizin işletmediğiniz sistemlerden geçer. İleride ayrılmak, her müşteri hesabını ve her coini yeni bir sisteme taşımak demektir.

MiCA kapsamında operasyonel işlevleri başka bir firmaya devretmek dış kaynak kullanımıdır ve bunu yapan kripto varlık hizmet sağlayıcıları “tüm yükümlülüklerini yerine getirmekten tamamen sorumlu” olmaya devam eder. Bu firmaların “acil durum planlarını ve çıkış stratejilerini” kapsayan bir dış kaynak kullanımı politikasına ihtiyacı vardır ve yazılı sözleşme onlara “fesih hakkı” tanımalıdır.

Bir borsa motorunu lisanslamak ne zaman mantıklıdır?

Şu durumlarda bir motoru lisanslayın:

• Sunucuları her gün işletebilecek ve güncellemeleri kurabilecek bir ekibiniz var ya da böyle bir ekibi işe alacaksınız
• Müşteri verilerinin ve cüzdan anahtarlarının kontrol ettiğiniz sunucularda durmasını istiyorsunuz
• Ürün ihtiyacınızın çoğunu karşılıyor; geri kalanını tedarikçi ekleyecek ya da ekibinizin eklemesine izin verecek

Şartlar tedarikçiye göre değişir. Örneğin Openware, OpenDAX Aurora ürünü için bir kez ödenen bir “Lifetime software license” (ömür boyu yazılım lisansı) tanımlıyor ve yazılımın “sizin bulut ya da bare metal barındırma ortamınıza kurulduğunu” söylüyor. Ayrıca “Access to Source Code” (kaynak koda erişim) satırını da listeliyor.

Bu durumda yazılımı işletmek sizin işinizdir. Her güncellemeyi ekibiniz kurar, gece gelen uyarılara da ekibiniz yanıt verir; örneğin sizi bir blokzincirine bağlayan sunucu olan blokzinciri düğümü çalışmayı durdurduğunda. Lisans kapsamında kaynak koda erişmek, kodun sahibi olmakla da aynı şey değildir; bu yüzden lisansın neyi değiştirmenize izin verdiğini kontrol edin.

Kendi borsanızı geliştirmek ne zaman buna değer?

Aşağıdakilerden en az biri geçerliyse kendiniz geliştirin:

• Sattığınız şey borsanın kendisi ve test ettiğiniz ürünler onun emir türlerini ya da kurallarını uygulayamıyor
• Hacminizle birlikte büyüyen ücretler artık kendi sisteminizi işleten bir ekibin maliyetini aşıyor
• Kodun ve içindeki her kuralın sahibi olmanız gerekiyor

Kendi geliştirdiğiniz bir sistemle ilk işleme ulaşmak daha uzun sürer ve lansmandan sonra her yeni blokzinciri ya da coin ek kod ve test gerektirir. Yalnızca sizi farklı kılan parçaları geliştirip geri kalanını satın alabilirsiniz; örneğin saklama hizmetini yetkili bir sağlayıcıdan alabilirsiniz.

Merkezdeki matching engine, aynı emirleri her yeniden oynattığında aynı sonucu vermelidir; böylece bir çökmeden sonra defter yeniden oluşturulabilir. Matching engine tasarımı hakkındaki yazı bunun nasıl yapılacağını anlatıyor; CTO'su olmayan kuruculara yönelik yazı ise geliştirme ortağı seçimini ele alıyor.

Her yolun maliyeti nedir?

Fiyatlar sağlayıcıya ve kapsama bağlıdır; bu yüzden her yolun nasıl ücretlendirildiğini karşılaştırın:

• White-label: bir kurulum ücreti, ardından aylık bir ücret ya da gelirinizden bir pay veya ikisi birden. 5 Kasım 2026'da HollaEx'in fiyatlandırma sayfası, Enterprise Cloud planı için “Low revenue sharing at 15%” (%15 oranında düşük gelir paylaşımı) satırını gösteriyordu. Sayfa bunun neyin payı olduğunu belirtmiyordu. Her sağlayıcıya payını neye göre hesapladığını sorun.
• Lisanslı motor: bir kez ya da belirli bir takvime göre ödenen lisans ücreti; lisans bunları kapsamıyorsa buna ek olarak destek ve güncellemeler. Kendi sunucularınız ve onları işleten çalışanlar için de ödeme yaparsınız.
• Kendi geliştirdiğiniz sistem: sistemi geliştiren ekip, ardından onu işleten kişiler; bunlara ek olarak sunucular ve dışarıdan yaptırılan güvenlik incelemeleri. Bu incelemelere, test uzmanlarının bir saldırgan gibi sisteme sızmaya çalıştığı sızma testleri de dahildir.
• Tüm yollarda: lisans için hukuki çalışma, MiCA'nın şart koştuğu sermaye, uyum personeli, müşterilerin kimliğini doğrulayan ve kripto adreslerini tarayan hizmetler, piyasa yapıcı anlaşmaları ve müşteri parası için bir banka.

Kendi geliştirdiğiniz sistemin maliyetinin büyük kısmı lansmandan önce oluşur; white-label ise maliyetini onu kullandığınız yıllara yayar.

Ayrılırsak yanımızda neyi götürebiliriz?

İmzalamadan önce nelerin sizde kalacağını yazıya dökün:

• Müşteri verileri. Bir sağlayıcı müşterilerinizin kişisel verilerini sizin adınıza işliyorsa, AB'nin veri koruma kanunu olan GDPR bu sağlayıcıyı veri işleyen olarak tanımlar. Bu durumda sözleşme, hizmet sona erdiğinde sağlayıcının tercihinize göre “tüm kişisel verileri sileceğini veya iade edeceğini” belirtmelidir. Müşteriler sağlayıcının kendi şartlarıyla kaydoluyorsa, bunların kimin müşterisi olduğunu bir avukata sorun.
• Kayıtlar. MiCA, “tüm kripto varlık hizmetlerinin, faaliyetlerinin, emirlerinin ve işlemlerinin” kayıtlarının beş yıl, düzenleyici bu süre dolmadan isterse yedi yıla kadar saklanmasını şart koşar. Kayıtlar talep hâlinde müşterilere verilmelidir. Her emri, işlemi, para yatırmayı ve para çekmeyi içeren iç defterin belgelenmiş bir formatta, istediğiniz an dışa aktarılabilmesini isteyin.
• Coinler. Müşteri coinlerinin kontrol ettiğiniz cüzdanlara nasıl taşınacağını ve bu transferleri kimin imzalayacağını yazılı olarak kararlaştırın. Taşımayı bir kez küçük bir tutarla deneyin.
• Marka ve alan adı. Bunlar ancak alan adı ve ticari marka şirketinizin adına kayıtlıysa sizde kalır. Bunu lansmandan önce yapın.
• Kod. Kodun sahibi yalnızca kendi geliştirdiğiniz sistemde ve yalnızca sözleşmede yazıyorsa olursunuz. Lisans modelinde kaynak kod emaneti (escrow) isteyin. Bu düzenlemede kodun bir kopyasını üçüncü bir taraf tutar ve tedarikçinin faaliyetini sona erdirmesi gibi sözleşmede sayılan olaylarda kodu size teslim eder.
• Çıkış şartları. Her tarafın ne kadar önceden bildirimde bulunacağını ve taşınma sırasında sağlayıcının size hangi desteği vermekle yükümlü olduğunu yazılı olarak alın.

Borsamızı geliştirecek ya da işletecek bir firmaya neler sormalıyız?

• Müşterilerimiz kimin düzenleyici lisansı altında işlem yapacak ve hizmet vermeyi planladığımız pazarlarda sizin ya da iş ortaklarınızın hangi lisansları var?
• Müşteri cüzdanlarının anahtarlarını kim tutuyor ve cüzdanlar kimin adına?
• İlk gün likidite nereden geliyor ve müşterilerimizin işlemlerinin karşı tarafında kimin hesabı yer alıyor?
• Sistem belirlenen fiyat ve büyüklük limitlerini aşan emirleri nasıl reddediyor ve olası piyasa kötüye kullanımını nasıl işaretliyor?
• Sistem ESMA'nın emir defteri ve kayıt tutma dosyalarını üretebiliyor mu ve beş yıllık kayıtları istediğimiz an dışa aktarabilir miyiz?
• Gece bir cüzdan ya da bir blokzinciri düğümü çalışmayı durdurduğunda kim müdahale ediyor?
• Bugün çalışan bir sistemde bunun işlediğini gösterebilir misiniz?

amBrain nerede devreye girer?

Bu blogu amBrain yayımlıyor. amBrain trading alanındaki işinin bir kısmını tek satırla şöyle anlatıyor: “amBrain, algoritmik trading altyapısı geliştirir: emir gerçekleştirme, piyasa verisi ve işlem öncesi risk kontrolleri.” amBrain'in web sitesindeki bir başka satır şöyle: “Trading terminali geliştirme, emir yönetim sistemleri ve FIX protokolü ile borsa entegrasyonu.”

amBrain 2019'dan bu yana yazılım geliştiriyor. Müşterileriyle nasıl çalıştığı konusunda şöyle diyor: “Üç format: tam teslim, özel ekip ya da sizin ekibinize yerleşen mühendisler.” Mülkiyet konusundaki satırı ise şöyle: “Müşteri, yeniden kullanılabilir bileşenlerimiz dışında ürünün ve kodun tam mülkiyetini elinde tutar.” İmzalamadan önce bu bileşenlerin adlarıyla listesini isteyin.

Bu yazı bir vaka çalışması değildir. Hiçbir müşteri çalışmasını anlatmaz ve amBrain'e ait fiyat ya da takvim vermez. Tedarikçilerin şartlarını nasıl anlattığını göstermek için HollaEx, Openware ve Shift Markets'in yayımlanmış sayfalarından alıntı yapar. Bunların hiçbirini önermez ve amBrain ile alıntı yaptığı herhangi bir tedarikçi ya da düzenleyici arasında bir ilişki iddia etmez.

Hukuki tavsiye de değildir. amBrain kısa listenizdeyse, ona da diğer her firmaya sorduğunuz soruların aynısını sorun.