7518 sayılı Kanun ile kripto varlık hizmet sağlayıcıları SPK izni ve denetimine tabi oldu. Bu, platformların alım-satım ekranıyla değil; müşteri tanıma, saklama, iz kaydı, raporlama ve bilgi güvenliğiyle de değerlendirilmesi demek. 360 Soft bu altyapıyı denetlenebilir şekilde geliştirir ve platformları uyum gereksinimlerine göre günceller.
Bu sayfa; kripto varlık alım-satım platformu, saklama hizmeti veya bu alana girmeye hazırlanan bir fintek girişimi olarak teknik altyapınızı düzenleyici beklentilere göre nasıl kuracağınızı ya da güncelleyeceğinizi anlatır. Modüller, mevzuatın genel çerçevesi, teslim modelleri, süreç, göstergeler, maliyet faktörleri, riskler ve seçim kriterleri aşağıda.
Düzenleyici çerçeve: genel bakış
2024 yılında yürürlüğe giren 7518 sayılı Kanun ile Sermaye Piyasası Kanunu’na kripto varlıklara ilişkin hükümler eklendi. Bu çerçevede kripto varlık hizmet sağlayıcıları (platformlar ve saklama hizmeti sunan kuruluşlar) Sermaye Piyasası Kurulu’nun (SPK) iznine ve denetimine tabi hale geldi. Kuruluş ve faaliyet esasları, sermaye ve organizasyon şartları, müşteri varlıklarının korunması ve çalışma kuralları SPK’nın ikincil düzenlemeleriyle ayrıntılandırılır. Bilgi sistemleri ve teknolojik altyapıya ilişkin teknik yeterlilik ölçütlerinin belirlenmesinde TÜBİTAK’ın da rolü bulunur.
Suç gelirlerinin aklanması ve terörün finansmanıyla mücadele tarafında kripto varlık hizmet sağlayıcıları, Mali Suçları Araştırma Kurulu (MASAK) düzenlemeleri kapsamında yükümlüdür: müşteri tanıma, şüpheli işlem bildirimi, kayıt saklama, iç denetim ve eğitim gibi yükümlülüklerin yanında kripto varlık transferlerinde gönderen ve alıcı bilgilerinin aktarılmasına ilişkin kurallar da uygulanır. Kişisel verilerin işlenmesi 6698 sayılı KVKK’ya tabidir. Düzenlemeler bu alanda hızla güncellendiği için her tasarım kararını güncel SPK ve MASAK mevzuatına ve hukuk danışmanınızın görüşüne dayandırmanızı öneririz; biz yazılımın bu gereksinimleri izlenebilir biçimde karşılamasını sağlarız.
Kimler için ve hangi sorunlar?
- Faaliyetini sürdüren platformlar: Uyum gereksinimleri sonradan eklenen sistemlerde iz kaydı, rol ayrımı ve raporlama dağınıktır; denetim taleplerine yanıt vermek manuel çalışma gerektirir.
- Yeni kurulacak platformlar: Hazır klon yazılımlar hızlı başlatır ama kaynak koda erişim, güvenlik incelemesi ve yerel entegrasyon konusunda belirsizlik bırakır.
- Saklama hizmeti sunacak kuruluşlar: Sıcak, ılık ve soğuk cüzdan ayrımı, anahtar yönetimi ve müşteri varlıklarının ayrıştırılması tasarımın merkezindedir.
- Banka ve aracı kurum iştirakleri: Grup bilgi güvenliği politikaları, iç denetim ve çekirdek sistemlerle entegrasyon beklentisi yüksektir.
Ortak acı noktası şudur: uyum, sonradan eklenen bir “modül” olarak düşünüldüğünde her yeni düzenleme bir yamaya dönüşür. Sağlam yaklaşım, kimlik doğrulamadan emir eşleştirmeye, cüzdan hareketinden muhasebe mutabakatına kadar her olayın değiştirilemez bir iz kaydı bıraktığı ve yetkilerin baştan ayrıştırıldığı bir mimaridir.
Kapsam
- Emir eşleştirme motoru, cüzdan ve saklama altyapısı: kripto varlık saklama ve cüzdan altyapısı
- KYC, NFC kimlik doğrulama ve AML işlem izleme
- Rol bazlı yetki, iz kaydı ve denetim raporları
- Banka ve ödeme entegrasyonları, mutabakat
- Güvenlik testleri ve sızma testi: sızma testi
Hazır klon script ile farkı
| Hazır klon script | 360 Soft | |
|---|---|---|
| Kaynak kod | Çoğunlukla kapalı veya lisanslı | Size özel, denetlenebilir |
| Uyum modülleri | Genelde sonradan eklenir | Baştan tasarıma dahil |
| Yerel entegrasyonlar | Sınırlı | Türk bankaları, ödeme ve kimlik sistemleri |
| Güvenlik denetimi | Belirsiz | Sızma testi ve kod incelemesi |
Piyasa bütünlüğü ve gözetim verisi
Düzenlenmiş bir ortamda platformun emirleri eşleştirmesi yetmez; piyasa dolandırıcılığı ve manipülasyon şüphesi doğuran işlemlerin sonradan incelenebilmesi gerekir. Emir girişi, değişikliği, iptali ve eşleşmesi milisaniye hassasiyetli zaman damgasıyla, değiştirilemez biçimde saklanır. Aynı kişiye ait hesaplar arası işlem (wash trading), kısa süreli emir yığma ve olağandışı fiyat hareketleri için gözetim kuralları tanımlanır. Listeleme kararları, varlık bilgilendirme metinleri ve platform kural değişiklikleri de sürümlü olarak kayıt altına alınır. Bu veriler, bir inceleme talebinde istenen dönemin olay akışını yeniden oluşturmayı mümkün kılar.
Modül kapsamı ayrıntılı
| Modül | İçerik | Uyum açısından önemi |
|---|---|---|
| Müşteri kabulü (onboarding) | Kimlik belgesi doğrulama, NFC çipli kimlik okuma, canlılık testi, adres ve iletişim doğrulama | Müşteri tanıma yükümlülüğünün ilk adımı |
| Risk puanlama | Müşteri, ürün, ülke ve kanal bazlı risk skoru; yüksek riskli müşteri için ek inceleme | Risk temelli yaklaşım |
| Yaptırım ve liste taraması | Ulusal ve uluslararası listelerle tarama, periyodik yeniden tarama | Malvarlığı dondurma ve yaptırım kuralları |
| İşlem izleme (AML) | Senaryo kuralları, eşik ve davranış analizi, vaka yönetimi, şüpheli işlem bildirimi hazırlığı | MASAK yükümlülükleri |
| Blokzincir analizi entegrasyonu | Adres risk puanı, karışık kaynaklı fon tespiti | Kripto transferlerinde risk değerlendirmesi |
| Transfer bilgisi (seyahat kuralı) | Gönderen ve alıcı bilgilerinin karşı hizmet sağlayıcıyla iletilmesi ve saklanması | Kripto varlık transfer kuralları |
| Emir eşleştirme motoru | Emir defteri, eşleştirme, piyasa gözetimi için olay kaydı | Piyasa bütünlüğü ve denetlenebilirlik |
| Cüzdan ve saklama | Sıcak, ılık, soğuk cüzdan ayrımı; çoklu imza veya MPC; HSM ile anahtar yönetimi | Müşteri varlıklarının korunması |
| Fiat ve banka entegrasyonları | Para yatırma ve çekme, mutabakat, müşteri bakiyelerinin ayrıştırılması | Müşteri varlığı ile şirket varlığının ayrımı |
| Muhasebe ve mutabakat | Zincir üstü bakiye, iç defter ve banka hesaplarının günlük mutabakatı | Varlık güvencesi |
| Yetki ve iz kaydı | Rol bazlı yetki, dört göz onayı, değiştirilemez olay kaydı | İç kontrol ve denetim |
| Raporlama | Düzenleyici raporlar, iç denetim raporları, yönetim panoları | SPK ve MASAK talepleri |
Müşteri tanıma ve işlem izleme modüllerinin ayrıntıları için KYC / AML uyum yazılımı, cüzdan ve anahtar yönetimi için kripto varlık saklama ve cüzdan altyapısı sayfalarımıza bakabilirsiniz.
Teknoloji yığını
Emir eşleştirme tarafında düşük gecikmeli, bellek içi çalışan ve olay kaynaklı (event sourcing) bir mimari; servisler arası iletişimde mesaj kuyruğu; kalıcı veride ilişkisel veritabanı ve değiştirilemez olay kaydı kullanılır. Anahtar yönetimi donanım güvenlik modülü (HSM) veya çok taraflı hesaplama (MPC) ile yapılır. Altyapı, konteyner tabanlı ve yatay ölçeklenebilir kurulur; yük testleri piyasa dalgalanmalarındaki ani işlem patlamalarını simüle edecek şekilde planlanır. Mobil tarafta iOS ve Android uygulamaları cihaz güvenliği kontrolleri, sertifika sabitleme ve güvenli depolama ile geliştirilir.
Deneyim
Coinone kripto borsası platformu referanslarımızdandır.
Teslim modelleri
| Model | Kapsam | Uygun durum |
|---|---|---|
| Boşluk analizi | Platformun mevzuat ve güvenlik gereksinimlerine göre incelenmesi, önceliklendirilmiş eksik listesi | Faaliyetteki platformlar |
| Özel geliştirme projesi | Uçtan uca platform veya belirli modüllerin size özel, kaynak kodu teslimli geliştirilmesi | Yeni kurulan veya altyapısını yenileyen platformlar |
| Modül entegrasyonu | KYC, AML, cüzdan veya raporlama modülünün sisteme eklenmesi | Belirli eksiklerini kapatmak isteyenler |
| Şirket içi veya özel bulut kurulum | Uygulama ve veri sizin altyapınızda; düzenleyici erişim ve veri yerleşimi kurallarına göre | Lisanslı faaliyet yürüten kuruluşlar |
| Yönetilen hizmet | Uygulama bakımı, izleme, güvenlik güncellemeleri ve sürüm yönetimi | Operasyonu küçük ekiple yürütenler |
| Ek ekip | Kendi ekibinize backend, blokzincir, güvenlik veya mobil geliştirici eklenmesi | İç ekibi olan, kapasite arayanlar |
Gereksinim analizi ve denetim hazırlığı dönemlerinde yerinde, geliştirme ve bakımda uzaktan, kritik sürüm geçişlerinde hibrit çalışılır. Ek ekip ve yönetilen hizmet modelleri 4857 sayılı İş Kanunu md. 2 çerçevesinde hizmet alımı veya alt işverenlik olarak kurgulanır; çalışanlar 360 Soft’un bordrosunda ve yönetiminde kalır. Geçici iş ilişkisi (md. 7) İŞKUR izinli özel istihdam bürolarınca kurulabilir; 360 Soft özel istihdam bürosu değildir.
Süreç adımları ve tipik süreler
| Adım | İçerik | Tipik süre |
|---|---|---|
| 1. Keşif ve boşluk analizi | Sistem, süreçler, mevzuat gereksinimleri, güvenlik durumu | 2–4 hafta |
| 2. Mimari ve gereksinim dokümanı | Modül sınırları, veri akışları, yetki matrisi, iz kaydı tasarımı | 2–4 hafta |
| 3. Öncelikli modüller | Müşteri kabulü, işlem izleme, iz kaydı ve raporlama | 2–4 ay |
| 4. Çekirdek ve cüzdan | Emir eşleştirme, saklama, fiat entegrasyonları, mutabakat | 3–6 ay (kapsama göre) |
| 5. Güvenlik doğrulama | Kod incelemesi, sızma testi, yük testi, bulguların kapatılması | 3–6 hafta |
| 6. Dokümantasyon | Teknik mimari, süreç ve kontrol dokümanları, denetim kanıtları | Geliştirmeyle paralel |
| 7. Canlıya geçiş ve destek | Kademeli açılış, izleme, olay müdahale planı | Sürekli |
Süreler tipiktir; kod tabanının durumu, entegrasyon sayısı ve düzenleyici takvim belirleyicidir. Yeni bir platformda tüm modüllerin sıfırdan yazılması ile bir platformun eksiklerinin kapatılması arasında takvim farkı büyüktür.
SLA ve KPI örnekleri
| Gösterge | Tanım |
|---|---|
| Platform erişilebilirliği | Alım-satım ve cüzdan hizmetlerinin aylık çalışma süresi |
| Emir işleme gecikmesi | Emrin alınmasından eşleşmeye kadar geçen süre (yük altında ölçülür) |
| Müşteri kabul süresi | Başvurudan onaya kadar geçen süre ve manuel incelemeye düşme oranı |
| AML uyarı işleme süresi | Uyarının oluşmasından vaka kararına kadar geçen süre |
| Mutabakat farkı | Zincir üstü bakiye, iç defter ve banka hesapları arasında açıklanamayan fark |
| Güvenlik bulgusu kapanış süresi | Kritik ve yüksek bulguların kapatılma süresi |
| Olay müdahale süresi | Güvenlik olayının tespitinden ilk müdahaleye kadar geçen süre |
Hedef değerler sözleşmede sizinle birlikte belirlenir; burada gerçekleşmiş sunulmaz.
Fiyatlandırmayı belirleyen faktörler
| Faktör | Etkisi |
|---|---|
| Kapsam | Tam platform mu, belirli modüller mi, sistemin güncellenmesi mi |
| Desteklenen varlık ve ağ sayısı | Her blokzincir ağı ayrı düğüm, cüzdan ve izleme entegrasyonu gerektirir |
| Anahtar yönetimi yöntemi | HSM, MPC veya çoklu imza seçimi altyapı ve lisans maliyetini etkiler |
| Üçüncü taraf servisler | Kimlik doğrulama, liste tarama ve blokzincir analizi servislerinin lisansları |
| Barındırma | Şirket içi, özel bulut veya yerel veri merkezi |
| Güvenlik ve test yoğunluğu | Kod incelemesi, sızma testi ve yük testi kapsamı |
| Destek düzeyi | Mesai içi veya kesintisiz izleme ve müdahale |
- Sabit fiyat: Boşluk analizi ve kapsamı netleşmiş modül projelerinde.
- Adam/ay: Uzun soluklu platform geliştirme ve ek ekiplerde uzman başına aylık bedel.
- Saatlik: Danışmanlık, kod incelemesi ve küçük değişikliklerde.
- Sonuç bazlı: Belirli bir modülün kabul kriterleriyle canlıya alınmasına bağlı ödeme.
- Abonelik: Yönetilen hizmet ve bakımda aylık bedel.
Kendi ekibiniz, serbest çalışan veya dış kaynak
| Kriter | Şirket içi ekip | Serbest çalışan | Dış kaynak (360 Soft) |
|---|---|---|---|
| Kripto ve uyum birikimi | İşe alımla oluşturulur, zaman alır | Kişiye göre değişir | Platform, KYC/AML ve saklama deneyimi birlikte |
| Güvenlik güvencesi | İç süreçlere bağlı | Doğrulanması zor | Kod incelemesi, sızma testi ve dokümantasyon |
| Süreklilik | Personel değişimine açık | Kişi ayrıldığında yüksek risk | Ekip, dokümantasyon ve SLA |
| Kaynak kod ve IP | Tam sahiplik | Sözleşmeye bağlı, çoğu zaman belirsiz | Sözleşmede açıkça tanımlı |
| Maliyet yapısı | Sabit, yüksek uzman maaşları | Düşük başlar, kontrol zor | Model seçimine göre öngörülebilir |
Riskler ve önlemler
| Risk | Önlem |
|---|---|
| Sıcak cüzdandan varlık kaybı | Sıcak cüzdanda operasyonel tutar, limitler, çoklu onay, HSM veya MPC ile anahtar koruması |
| İç kötüye kullanım | Görevler ayrılığı, dört göz onayı, ayrıcalıklı erişim yönetimi, değiştirilemez iz kaydı |
| Hesap ele geçirme | Güçlü çok faktörlü doğrulama, cihaz tanıma, çekim adresi beyaz listesi ve bekleme süresi |
| Kara para aklama amaçlı kullanım | Risk temelli müşteri tanıma, işlem izleme senaryoları, blokzincir analizi |
| Ani yük artışı | Yatay ölçekleme, yük testi, emir hız sınırları, kademeli bozulma planı |
| Mutabakat farkı | Günlük otomatik mutabakat, fark eşiklerinde alarm, müşteri ve şirket varlıklarının ayrıştırılması |
| Mevzuat değişikliği | Parametrik kural motoru, sürümlenmiş politikalar, düzenleme takibi |
| Üçüncü taraf bağımlılığı | Çıkış planı, alternatif sağlayıcı, sözleşmede veri iadesi |
Güvenlik, KVKK, NDA ve fikri mülkiyet
Kimlik belgesi görüntüleri, biyometrik veriler ve finansal işlem kayıtları KVKK kapsamında özel nitelikli veya hassas veri olarak değerlendirilebilir; açık rıza, aydınlatma, saklama süreleri, yurt dışı aktarım ve veri minimizasyonu kurallarına göre tasarım yapılır. Yurt dışından müşteri kabul ediliyorsa GDPR de dikkate alınır. Uygulama katmanında güvenli kod geliştirme, bağımlılık taraması, gizli anahtar yönetimi ve düzenli sızma testi standart uygulamadır.
Projeye başlamadan karşılıklı gizlilik sözleşmesi (NDA) imzalanır. Size özel geliştirilen kodun fikri mülkiyet hakları ve kaynak kod teslimi sözleşmede açıkça yazılır; bu, hazır klon yazılımlara göre en önemli farklardan biridir. Üretim ortamına erişim en az yetki ilkesine göre verilir ve tüm erişimler kayıt altına alınır.
Seçim kontrol listesi
- Kaynak kod size teslim ediliyor mu, fikri mülkiyet kimde kalıyor?
- Her işlem ve yönetici eylemi değiştirilemez iz kaydı bırakıyor mu?
- Müşteri varlıkları ile şirket varlıkları teknik olarak ayrıştırılıyor mu?
- Anahtar yönetimi için HSM, MPC veya çoklu imza kullanılıyor mu?
- Bağımsız sızma testi ve kod incelemesi yapıldı mı, bulgular kapatıldı mı?
- İşlem izleme kuralları parametrik mi, yeni senaryo eklemek geliştirme gerektiriyor mu?
- Türk bankaları, ödeme kuruluşları ve kimlik doğrulama servisleriyle entegrasyon var mı?
- Yük testleri piyasa dalgalanmalarını yansıtıyor mu?
- Denetim için teknik ve süreç dokümantasyonu hazırlanıyor mu?
- Sözleşmede SLA, olay müdahale ve çıkış planı yazılı mı?
Temsili senaryo
Temsili senaryodur. Faaliyetini sürdüren orta ölçekli bir platform, yeni düzenleme sonrasında altyapısını gözden geçirmek istiyor. Boşluk analizinde yönetici işlemlerinin kayıt altına alınmadığı, sıcak cüzdan limitlerinin manuel yönetildiği ve AML uyarılarının e-postayla takip edildiği görülüyor. İlk fazda rol bazlı yetki ve değiştirilemez iz kaydı, ikinci fazda vaka yönetimli işlem izleme ve otomatik mutabakat, üçüncü fazda cüzdan politikalarının yeniden tasarımı planlanıyor. Bu senaryo bir müşteri projesini değil, tipik bir ihtiyacın nasıl ele alınabileceğini anlatır.
Sık sorulan sorular
Lisans başvurusunu siz mi yapıyorsunuz?
Hayır; lisans başvurusu platformun kendisi tarafından yapılır. Biz yazılım, güvenlik ve dokümantasyon tarafında destek veririz.
Platformumuzu uyum için güncelleyebilir misiniz?
Evet. Önce boşluk analizi yapar, eksikleri önceliklendirerek kapatırız.
Mobil uygulama da dahil mi?
Evet, iOS ve Android uygulamaları geliştiriyoruz.
7518 sayılı Kanun hangi kuruluşları kapsar?
Kanun, kripto varlık alım-satımına aracılık eden platformlar ve saklama hizmeti sunan kuruluşlar gibi kripto varlık hizmet sağlayıcılarını SPK izni ve denetimine tabi kılar. Kendi durumunuzun değerlendirmesi için hukuk danışmanınızla görüşmenizi öneririz.
MASAK yükümlülükleri yazılımda nasıl karşılanır?
Müşteri tanıma, risk puanlama, liste taraması, işlem izleme, vaka yönetimi, kayıt saklama ve transfer bilgisi aktarımı modüllerle desteklenir. Politika ve kararlar uyum görevlinizde kalır; yazılım bunları izlenebilir kılar.
Hazır klon script ile özel geliştirme arasındaki fark nedir?
Klon yazılımlar hızlı başlatır ama kaynak koda erişim, güvenlik denetimi ve yerel entegrasyon sınırlıdır. Özel geliştirmede kaynak kod size teslim edilir, uyum modülleri baştan tasarıma dahil edilir.
Cüzdan altyapısında hangi yöntemleri kullanıyorsunuz?
Sıcak, ılık ve soğuk cüzdan ayrımıyla birlikte HSM, MPC veya çoklu imza yöntemleri ihtiyaca göre seçilir. Seçim risk iştahınıza, işlem hacminize ve düzenleyici beklentilere göre yapılır.
Uzaktan müşteri kabulü nasıl yapılır?
Kimlik belgesi doğrulama, NFC ile çip okuma, canlılık testi ve görüntülü görüşme gibi yöntemler mevzuatın izin verdiği çerçevede birleştirilir. Hangi yöntemlerin zorunlu olduğu güncel düzenlemeye göre belirlenir.
Sızma testi dahil mi?
Güvenlik doğrulaması proje planının parçasıdır. Bağımsız sızma testi planlanır ve bulgular canlıya geçişten önce kapatılır.
Altyapı nerede barındırılır?
Şirket içi veri merkezi, yerel veri merkezi veya özel bulut seçenekleri düzenleyici beklentiler ve veri yerleşimi kurallarına göre değerlendirilir.
Proje ne kadar sürer?
Boşluk analizi birkaç hafta, modül geliştirmeleri birkaç ay sürer. Tam platform geliştirmede takvim kapsama göre daha uzundur; ayrıntılı plan keşiften sonra yazılı paylaşılır.
Fiyatlandırma nasıl yapılır?
Kapsam, desteklenen ağ sayısı, anahtar yönetimi yöntemi, üçüncü taraf servisler ve destek düzeyine göre sabit fiyat, adam/ay veya abonelik modeli önerilir.
İlgili sayfalar
- KYC / AML uyum yazılımı
- Kripto varlık saklama ve cüzdan altyapısı
- Fintech yazılım geliştirme
- NFC kimlik doğrulama
- Sızma testi hizmeti
- Mobil uygulama geliştirme
- Staff augmentation
Platformunuz için boşluk analizi planlayalım
Altyapınızı veya kurmayı planladığınız hizmeti kısaca anlatın; boşluk analizi kapsamını, tipik takvimi ve yazılı teklifi paylaşalım. Telefon: +90 850 335 10 87 · E-posta: info@360-soft.com · İletişim sayfası.
Projenizi konuşalım İhtiyacınızı kısaca yazın; kapsam, takvim ve yazılı teklifi paylaşalım. Teklif alın · WhatsApp · +90 850 335 10 87
Bu sayfa 360 Soft Yetkili Temsilcisi Yasir Bünyamin İncedere tarafından hazırlanmıştır. Son güncelleme: Kasım 2026.