BtcTurk Güvenilir mi? Bağımsız Güvenlik Denetimi (2026)

2017’den beri kripto sektöründeyim; birden fazla büyük platform çöküşünü içeriden izledim ve bu tür denetim yazılarını hep aynı soruyla açarım: bu borsa yarın kapanırsa paranıza ne olur? “BtcTurk güvenilir mi” sorusuna verilecek dürüst cevap, ne resmi pazarlama metinlerinden ne de sosyal medyadaki panik başlıklarından çıkar. Cevap; şirketin 2013’ten bu yana sicilinden, 22 Haziran 2024’teki sıcak cüzdan saldırısına verdiği tepkiden, SPK’nın yeni lisans rejimindeki konumundan ve — en önemlisi — sizin kendi güvenlik alışkanlıklarınızdan çıkar. Bu denetimde dördünü de tek tek masaya yatıracağız.

Kısa Cevap: Evet, Ama Şartlı

Kısa cevap: BtcTurk, Türkiye pazarındaki en köklü ve en denetlenebilir kripto borsalarından biridir ve bu anlamda “güvenilir” sıfatını hak eder — ancak bu güven, saklama (custody) riskini ortadan kaldırmaz. Şirket 1 Temmuz 2013’te İstanbul’da kuruldu, Türkiye’nin ilk kripto para borsasıdır ve 12 yılı aşkın faaliyet süresince kullanıcı fonlarını kalıcı olarak kaybetmedi. 2024’te ciddi bir sıcak cüzdan saldırısı yaşadı; fakat tüm kullanıcı zararlarını kendi rezervlerinden karşıladı ve hiçbir kullanıcı para kaybetmedi. Bugün, Kanun No. 7518 ile kurulan rejim kapsamında SPK’nın (Sermaye Piyasası Kurulu) “faaliyette olanlar” listesinde yer alarak çalışıyor.

Aceleniz varsa aşağıdaki puan tablosu beş dakikalık özettir. Vaktiniz varsa devam edin; çünkü asıl değerli kısım, notların gerekçeleridir. BtcTurk’ün ne olduğunu ve nasıl çalıştığını henüz bilmiyorsanız önce BtcTurk nedir rehberine göz atabilirsiniz; genel değerlendirmemiz için ana sayfadaki incelememiz de iyi bir başlangıçtır.

Güven Karnesi: Kriter Kriter Puanlama

Aşağıdaki tablo, bağımsız bir denetimde kullandığım altı standart kriteri BtcTurk’e uygular. Notlar; resmi btcturk.com açıklamalarına, SPK yayınlarına, güvenlik araştırmacılarının 2024 olayı sonrası analizlerine ve kamuya açık kullanıcı yorumlarına dayanır.

Genel görünüm: yüksek sicil notu, güçlü regülasyon notu, hack nedeniyle kırılan ama müdahale kalitesiyle toparlanan bir güvenlik notu. Şimdi her kalemi tek tek açalım.

2013’ten Bu Yana Sicil: Zaman En Sert Denetçidir

Kripto sektöründe uzun ömür, tek başına bir güvenlik kanıtı değildir; ama kısa ömür neredeyse her zaman bir uyarı işaretidir. BtcTurk, 1 Temmuz 2013’te İstanbul’da kurulduğunda Bitcoin’in fiyatı üç haneliydi ve Türkiye’de kripto borsası diye bir kategori henüz yoktu. O günden bu yana şirket; 2014 ayı piyasasını, 2018 çöküşünü, 2021 çılgınlığını, Türkiye’deki yerel platform skandallarını ve 2022 küresel iflas dalgasını (FTX, Celsius ve benzerleri) faaliyetine ara vermeden atlattı. Aynı dönemde onlarca yerli ve yabancı rakip ya kapandı ya da kullanıcı parasıyla birlikte ortadan kayboldu.

Sicile dair iki not daha. Birincisi, BtcTurk uzun yıllardır Türkiye Futbol Milli Takımları’nın sponsorudur; bu tür yüksek görünürlüklü, uzun vadeli sponsorluklar bir güvenlik garantisi değildir, ancak “yarın ortadan kaybolmayı planlayan” bir şirketin davranış kalıbıyla da bağdaşmaz. İkincisi, dolandırıcılık platformlarının klasik işaretleri — sahte adres, anonim ekip, çekim taleplerinin sistematik reddi, agresif getiri vaatleri — BtcTurk’te gözlenmiyor. Şirketin kimliği, yönetimi ve fiziksel varlığı yıllardır kamuya açık. Bu, ilerleyen bölümlerde eleştireceğimiz noktaları önemsizleştirmez; ama “BtcTurk dolandırıcılık mı” sorusunu net biçimde kapatır: hayır, değildir.

Haziran 2024 Saldırısı: Dürüst Bir Otopsi

Bir borsa incelemesinin güvenilirliği, en kötü gününü nasıl anlattığıyla ölçülür. BtcTurk’ün en kötü günü 22 Haziran 2024’tü ve bu bölümü ne yumuşatarak ne de abartarak, olduğu gibi anlatacağız.

Ne oldu?

22 Haziran 2024’te saldırganlar, BtcTurk’ün yaklaşık 10 farklı blokzincir ağındaki sıcak cüzdanlarına (hot wallet) eriştiler. Sıcak cüzdanlar, borsaların anlık para çekme taleplerini karşılamak için internete bağlı tuttuğu operasyonel kasalardır ve doğaları gereği her borsanın en savunmasız noktasıdır. Güvenlik araştırmacılarının zincir üstü analizlerine göre kayıp tahminleri değişkenlik gösterir: en sık atıfta bulunulan rakam yaklaşık 48 milyon dolardır; bazı analizler tahmini 55 milyon dolara kadar çıkarır. Kritik nokta şu: varlıkların büyük çoğunluğunun tutulduğu soğuk cüzdanlar (cold storage) saldırıdan etkilenmedi.

Şirket nasıl yanıt verdi?

BtcTurk kripto para çekimlerini geçici olarak askıya aldı, olayı kamuoyuna duyurdu, kolluk ve analiz firmalarıyla çalıştı ve — bu denetimin en önemli bulgusu — tüm kullanıcı zararlarını kendi rezervlerinden karşıladı. Hiçbir kullanıcı para kaybetmedi. Platform kademeli olarak normal operasyona döndü. Karşılaştırma için: sektör tarihinde benzer ölçekli saldırıların bir kısmı, zararı kullanıcılara yansıtan “saç tıraşı” planlarıyla, bir kısmı da doğrudan iflasla sonuçlanmıştır.

Bu olay neyi kanıtlıyor, neyi kanıtlamıyor?

Kanıtladığı şey: BtcTurk’ün bilançosu, on milyonlarca dolarlık bir şoku kullanıcılara dokunmadan emebilecek kadar güçlüydü ve yönetim, itibarı kısa vadeli nakitten daha değerli gördü. Kanıtlamadığı şey: BtcTurk’ün bir daha asla hacklenmeyeceği. Sıcak cüzdan riski, çekim hizmeti sunan her borsanın yapısal riskidir; sıfırlanamaz, yalnızca yönetilir. Doğru okuma şudur: saldırıya uğramak bir borsayı diskalifiye etmez; saldırı sonrası davranış eder ya da etmez.

Risk uyarısı: Hangi borsayı kullanırsanız kullanın, sıcak cüzdanlar internete bağlıdır ve saldırı yüzeyi her zaman vardır. 2024 olayı BtcTurk özelinde iyi yönetildi; ancak bir sonraki olayın da aynı şekilde sonuçlanacağının garantisi yoktur. Borsada yalnızca aktif olarak işlem yaptığınız tutarı bulundurun.

Regülasyon Derinlemesine: 7518, SPK Tebliğleri ve MASAK

Türkiye’de kripto, 2024 öncesinde fiilen lisanssız bir alandı: MASAK’ın kara para yükümlülükleri dışında, bir borsanın sermayesini, saklama düzenini veya yönetimini denetleyen bir çerçeve yoktu. Bu tablo iki adımda değişti.

Kanun No. 7518 (Temmuz 2024)

7518 sayılı Kanun, Sermaye Piyasası Kanunu’nu değiştirerek “kripto varlık hizmet sağlayıcıları”nı — borsalar, saklama kuruluşları ve platformlar — SPK’nın (Sermaye Piyasası Kurulu) iznine ve gözetimine bağladı. Bu, Türkiye kripto tarihindeki en büyük yapısal kırılmadır: o güne dek bir beyan ekonomisi olan sektör, bir lisans ekonomisine dönüştü. İzinsiz faaliyet artık yaptırıma tabidir.

SPK Tebliğleri III-35/B.1 ve III-35/B.2 (13 Mart 2025)

Kanunun uygulama detayları, 13 Mart 2025’te yayımlanan iki tebliğle netleşti. Denetçi gözüyle en kritik hükümler şunlardır:

• Asgari ödenmiş sermaye: borsalar için 150 milyon TL, saklama kuruluşları için 500 milyon TL. Amaç, sermayesiz “garaj borsalarını” piyasadan elemek.
• %95 saklama kuralı: müşteri kripto varlıklarının en az %95’i lisanslı saklama kuruluşlarında tutulmalıdır; sıcak cüzdanlarda kalabilecek pay yaklaşık %5 ile sınırlandırılmıştır. Bu kural, tam olarak 2024’teki türden saldırıların azami hasarını daraltmayı hedefler.
• Bağımsız denetim ve kurumsal yönetim: finansal ve bilgi sistemleri denetimleri, yöneticiler için uygunluk şartları, iç kontrol yükümlülükleri.

BtcTurk bu rejim kapsamında SPK’nın “faaliyette olanlar” listesinde yer alarak çalışmaktadır; yani lisans sürecine tabi, denetime açık ve kurallara uyumla yükümlüdür. Bunun üzerine MASAK katmanı gelir: kimlik doğrulama (KYC), işlem izleme, şüpheli işlem bildirimi, transfer bilgisi (travel rule) ve fon kaynağı sorgulama. Hesabınızın bazen geçici olarak incelemeye alınmasının, bir çekimin “neden bekliyor” göründüğünün arkasındaki mevzuat budur — can sıkıcıdır ama kuralsızlığın değil, kurallılığın işaretidir. Komisyon ve ücretlerin bu uyum maliyetleriyle ilişkisini BtcTurk komisyon rehberinde ayrıca inceledik.

Regülasyon sizi neden korur — ve neden korumaz?

Korur: sermayesiz operatörleri eler, saklama disiplinini zorunlu kılar, denetim izi yaratır, kötü yönetimin yaptırımını mümkün kılar. Korumaz: piyasa riskinden (aldığınız varlık değer kaybedebilir), sıfırlanamayan siber riskten ve — hemen aşağıda ayrıntılı işleyeceğimiz — saklama riskinin kendisinden. SPK lisansı, kripto varlığınıza devlet garantisi verildiği anlamına gelmez. Bu ayrımı yapamayan yatırımcı, regülasyonu bir sigorta poliçesi sanır; değildir.

Güvenlik Mimarisi: Resmi Açıklamalara Göre Denetim

Bu bölümdeki bilgiler resmi btcturk.com açıklamalarına dayanır; bağımsız bir sızma testi raporu değildir ve öyle okunmamalıdır. Şirketin beyan ettiği güvenlik katmanları şunlardır:

• Soğuk depolama ağırlıklı saklama: varlıkların büyük çoğunluğu internete kapalı soğuk cüzdanlarda tutulur. 2024 olayı bu mimarinin işlediğini fiilen gösterdi: saldırı sıcak cüzdan katmanında sınırlı kaldı.
• İki faktörlü kimlik doğrulama (2FA): girişlerde ve kritik işlemlerde ikinci doğrulama katmanı. Denetçi tavsiyesi: SMS yerine mutlaka authenticator uygulaması kullanın; SIM kopyalama saldırıları SMS’i zayıf halka yapar.
• Çekim adresi beyaz listesi (withdrawal whitelist): kripto çekimlerini önceden onaylanmış adreslerle sınırlama imkânı. Hesabınız ele geçirilse bile saldırganın parayı kendi adresine yönlendirmesini ciddi biçimde zorlaştırır.
• Cihaz ve oturum kontrolleri: yeni cihaz onayı, aktif oturum görüntüleme ve sonlandırma.
• Zafiyet bildirim pratikleri: bug bounty benzeri, güvenlik araştırmacılarından bildirim alma süreçleri.

Eksik gördüğümüz taraf şeffaflık cephesidir: düzenli aralıklarla yayımlanan, bağımsız üçüncü tarafça doğrulanmış bir rezerv kanıtı (proof of reserves) raporu, kullanıcının “varlıklarım gerçekten orada mı” sorusunu matematiksel olarak yanıtlar. Sektörde bu pratik giderek standartlaşıyor; karnedeki B şeffaflık notunun A olması için beklediğimiz adım budur.

Kullanıcılar Neden Şikayet Ediyor?

Adil bir denetim, şikayet defterini de açar. Kamuya açık kullanıcı yorumlarında öne çıkan üç tema var ve üçü de “param çalındı” kategorisinde değil, operasyonel sürtünme kategorisindedir:

• Destek yanıt süreleri: kullanıcılar, piyasa hareketlendiğinde ve talep patladığında destek yanıtlarının yavaşladığını bildiriyor. Bu, sektör genelinde görülen bir ölçekleme sorunudur; yine de 5 milyon kullanıcılı bir platform için çıta daha yüksek olmalı.
• Geçici AML incelemeleri: kullanıcılar, fon kaynağı sorgulaması veya işlem izleme nedeniyle hesap ya da çekimlerin geçici olarak bekletilmesinden yakınıyor. Yukarıda anlattığımız MASAK yükümlülüklerinin doğrudan sonucudur: mevzuat gereğidir, ancak iletişimi çoğu zaman kullanıcıyı tatmin edecek hızda değil.
• Bakım pencereleri: tam da volatilitenin yükseldiği anlara denk gelen uygulama bakımları, işlem yapamayan kullanıcılarda haklı bir hayal kırıklığı yaratıyor. Anlık fiyat takibi için BtcTurk fiyat sayfamızdaki araçlar bu dönemlerde işe yarayabilir.

Denetçi yorumu: bu şikayet profili, batmakta olan ya da kullanıcı parasına göz diken bir platformun profili değildir; büyüyen, regüle edilen ve operasyonel olgunluğu hâlâ gelişen bir platformun profilidir. Yine de şikayetleri küçümsemek yanlış olur — çekiminizin 48 saat incelemede kalması, istatistikte küçük, yaşayan için büyüktür.

Regülasyonun Silemeyeceği Risk: Saklama (Custody) Riski

Şimdi bu sayfanın en önemli bölümündeyiz. Bir borsada kripto tutmak, kabaca bankada para tutmaya benzer: bakiyeniz sizin adınıza kayıtlıdır ama anahtarlar — kriptoda kelimenin gerçek anlamıyla özel anahtarlar — kurumdadır. Banka benzetmesinin bittiği yer de tam burasıdır: Türkiye’de banka mevduatı belirli limitlere kadar TMSF güvencesindedir; kripto varlıklar bu sigortanın kapsamında değildir. BtcTurk’te ya da başka herhangi bir Türk borsasında tuttuğunuz kripto için devlet destekli bir mevduat sigortası yoktur. 2024’te kullanıcıları kurtaran şey bir sigorta fonu değil, şirketin kendi bilançosu ve kendi kararıydı.

Anahtarlar sizde değilse, coinler de sizin değildir (“not your keys, not your coins”). Borsadaki bakiyeniz, kurumun size olan bir taahhüdüdür; blokzincir üzerinde sizin kontrol ettiğiniz bir varlık değildir. Bu cümle bir slogan değil, saklama riskinin teknik tanımıdır.

Pratik sonuçlar şunlardır. Aktif işlem yaptığınız tutarın borsada durması normaldir ve gereklidir; likidite ve hız bunu gerektirir. Ancak uzun vadeli, büyük tutarlı birikimler için donanım cüzdanı (hardware wallet) ile kendi saklamanızı (self-custody) ciddi biçimde değerlendirin. Kendi saklamanız kendi sorumluluğunuzu getirir: kurtarma ifadenizi (seed phrase) asla dijital ortamda — telefon fotoğrafı, bulut notu, e-posta — saklamayın; kâğıda ya da çelik plakaya yazın, fiziksel olarak güvenli ve yedekli tutun. Seed phrase’inizi ele geçiren herkes, hiçbir şifre sormadan tüm varlığınızı taşıyabilir.

Kendi Güvenlik Kontrol Listeniz

Borsaların güvenlik ihlallerinden çok daha sık görülen kayıp nedeni, kullanıcı hesaplarının ele geçirilmesidir: zayıf şifreler, SMS tabanlı 2FA ve oltalama (phishing). Aşağıdaki yedi adım, hesap güvenliğinizin sizin tarafınızdaki yarısını kapatır:

1. Benzersiz ve güçlü şifre. BtcTurk şifreniz başka hiçbir sitede kullanılmamış olsun; bir parola yöneticisiyle 16+ karakterlik rastgele bir şifre üretin. Başka bir sitenin sızıntısı, sizin borsa hesabınızın anahtarı olmasın.
2. Authenticator tabanlı 2FA. SMS yerine Google Authenticator veya benzeri bir uygulama kullanın. SIM kopyalama saldırıları, SMS doğrulamayı düşünüldüğünden çok daha kolay aşar.
3. Çekim adresi beyaz listesi. Whitelist özelliğini açın ve yalnızca kendi doğruladığınız adresleri ekleyin. Yeni adres eklemeye zaman kilidi koyan ayarlar varsa etkinleştirin.
4. Oltalamaya karşı adres disiplini. Borsaya yalnızca kendi yazdığınız ya da yer imlerinizden açtığınız adresle girin; arama motoru reklamlarına ve e-postadaki bağlantılara asla tıklamayın. Güvenli giriş adımlarını BtcTurk giriş rehberinde ayrıntılı anlattık.
5. Cihaz ve oturum hijyeni. Tanımadığınız oturumları düzenli kontrol edin ve sonlandırın; ortak veya güvenilmeyen cihazlardan hesabınıza girmeyin.
6. Çekim testi alışkanlığı. Büyük transferlerden önce küçük bir test çekimi yapın; adresi ve ağı iki kez doğrulayın. Yanlış ağa gönderilen varlık çoğu zaman geri gelmez.
7. Sosyal mühendislik farkındalığı. “BtcTurk destek ekibi” adına arayıp şifre, 2FA kodu ya da uzak masaüstü erişimi isteyen herkes dolandırıcıdır — istisnasız. Gerçek borsa personeli bu bilgileri asla istemez.

Platform Yoğunlaşma Riskini Azaltmak

Denetçi refleksiyle son bir ilke: tek bir kuruma — ne kadar köklü ve regüle olursa olsun — tüm varlığınızı emanet etmeyin. 2024 olayı iyi sonuçlandı; ama tek platformda yoğunlaşan kullanıcı, o platformun operasyonel takvimine (çekim durdurmaları, bakım pencereleri, AML incelemeleri) tamamen bağımlı hale gelir. Makul bir yapı; günlük işlem bakiyesinin BtcTurk gibi yerel ve regüle bir borsada, bir yedek bakiyenin farklı yetki alanında faaliyet gösteren küresel bir platformda, uzun vadeli birikimin ise donanım cüzdanında tutulmasıdır. Amaç getiri değil, tek hata noktasını ortadan kaldırmaktır.

Artılar ve Eksiler

Nihai Karar