Kripto İz Sürme Raporu: Delil Zinciri ve Türkiye'de Usul

Çalınan kripto varlık zincirde kalır. Bu cümle doğru ve neredeyse hiçbir işe yaramıyor. İşe yarayan kısım, o varlığın hangi adreslere dağıldığını, hangi borsanın yatırma adresine girdiğini ve o borsanın hangi belgeyle cevap vermek zorunda olduğunu gösterebilmek. Bu yazı bir firmayı övmüyor: elinizdeki rapordaki sayıların ne kadarını savunabileceğinizi hesaplıyor - hangisi kriptografik kanıt, hangisi olasılık, hangisi satıcının tahmini ve Türkiye'de hangi merciin hangi maddeyle harekete geçtiği.

Alan iki ayrı işi aynı cümlede anlattığı için bulanık. Birincisi teknik iş: işlem grafiğini çıkarmak, adres kümelerini kurmak, o kümelerin kime ait olduğunu söylemeye çalışmak. İkincisi hukuki iş: o grafiği bir dosyaya dönüştürmek, karşı tarafın cevap vermek zorunda olduğu bir belgeye bağlamak ve saatle yarışmak. Teknik raporu sağlam ama usulü kurulmamış bir dosya altı ay sonra "izledik, dondurulamadı" cümlesiyle kapanıyor. Usulü kurulmuş ama grafiği zayıf bir dosya ise savcılıkta "hangi hesap" sorusuna cevap veremiyor. İkisini aynı anda kurmak gerekiyor.

Yazının omurgası dört soru: zincir neyi kanıtlar, kümeleme ne kadar güvenilir, para hangi saatte nerede durur ve Türkiye'de hangi belge o parayı durdurur. Cevapların hepsi sayıyla kuruluyor; sayıların hepsi de varsayımıyla birlikte yazılıyor, çünkü varsayımı yazılmayan sayı bir reklam cümlesidir.

Raporun kanıtladığı şey ile iddia ettiği şey aynı değil

Bir iz sürme raporunda beş katman var ve katmanlar birbirine karıştırıldığında rapor olduğundan güçlü görünüyor. En alttaki katman kriptografik: imza geçerliyse transfer gerçekten oldu, blok zaman damgası da sonradan değiştirilemez. İkinci katman aritmetik: adresler arasındaki ilişkinin kendisi. Üçüncü katman sezgisel: iki adresin aynı kişiye ait olduğu çıkarımı. Dördüncü katman kurumsal: borsanın hangi hesaba para yatırıldığını söylemesi. Beşinci katman hukuki: o hesabın sahibinin fail olduğuna mahkemenin karar vermesi. Bu beş katmanın yalnızca birincisi analistin tek başına kanıtlayabildiği şey.

İddia	Zincirdeki karşılığı	Bağımsız doğrulanabilir mi	Kim doğrular
"Şu transfer gerçekleşti"	İşlem hash'i, blok yüksekliği, imza	Evet, herkes	Herhangi bir düğüm
"A adresi B adresine gönderdi"	Girdi-çıktı ilişkisi	Evet	Herhangi bir düğüm
"A adresi mağdura ait"	Yok - zincir sahiplik yazmaz	Kısmen: imza, borsa kaydı, cüzdan yedeği	Mağdurun kendi delili ve borsa
"A ile C aynı kişide"	İşlem deseni	Hayır - olasılık	Analist; karşı taraf itiraz eder
"Para X borsasına yatırıldı"	Yatırma adresi etiketi	Kısmen: etiketin doğruluğu	Borsa teyidi
"Hesap şu kişiye ait, o da fail"	Yok	Hayır	Borsa (kimlik) ve mahkeme (fiil)

Tablodaki dördüncü satır bu işin en pahalı hatasını taşıyor. Bir raporda "küme" kelimesi geçtiğinde okuyucunun zihninde tek bir kişi canlanıyor; oysa küme bir olasılık ifadesi. Satıcı bunu yüzde olarak yazmıyorsa, sizin yerinize en yüksek olasılığı varsaymanızı bekliyor demektir. Sözleşmeye "her küme için güven düzeyi ve dayandığı sezgi ayrı ayrı yazılır" cümlesini koymak, raporun kalitesini satıcının iyi niyetinden bağımsız hale getiriyor.

İki defter modeli: UTXO ve hesap, ve tekniği değiştiren fark

Bitcoin benzeri zincirlerde bakiye diye bir nesne yok; harcanmamış işlem çıktıları (UTXO) var. Bir cüzdan transfer yaparken birkaç çıktıyı girdi olarak harcar ve hepsinin anahtarıyla imza atar. Bu, "aynı işlemde harcanan çıktılar aynı kişinin kontrolündedir" çıkarımını sezgi olmaktan çıkarıp kriptografik kanıta dönüştürüyor. Ethereum, TRON ve stablecoin ağlarında ise bakiye hesaplarda tutulur; bir işlemin tek bir göndereni vardır ve değişiklik kavramı yoktur. Aynı analiz yöntemi iki modelde aynı sonucu vermiyor.

Davranış	UTXO (Bitcoin benzeri)	Hesap (Ethereum, TRON, stablecoin)	Analize etkisi
Bakiye	Harcanmamış çıktıların toplamı	Hesap alanında tek sayı	Hesap modelinde kalan para tek bakışta görünür
Değişiklik	Var; hangi çıktının para üstü olduğu tahmin edilir	Yok	UTXO'da hatanın ana kaynağı değişiklik çıktısı
Adres yeniden kullanımı	Önerilmez, pratikte sık	Zorunlu; hesap adresi sabit	Hesap modelinde grafik daha az düğümlü ve daha okunur
Toplu harcama	Borsa soğuk cüzdanı binlerce müşterinin çıktısını tek işlemde harcar	Borsa içi transferler zincire hiç çıkmaz	"Ortak girdi" bir kişiyi değil, bir kurumu gösterebilir
Maliyet	Girdi sayısına bağlı, değişken	Gaz ücreti, sabit yapı	Dağıtım stratejisi maliyetle şekillenir
Akıllı sözleşme	Yok (katman çözümleri ayrı)	Var; takas, köprü, karıştırıcı sözleşmesi	Hesap modelinde bir "adres" aslında bir program olabilir

Son satır çoğu raporun atladığı yer. Hesap modelinde bir adres akıllı sözleşme olabilir; o zaman adresin arkasında bir kişi değil, içinden yüz binlerce kullanıcının geçtiği bir havuz var. Havuzdan çıkan her transferi "failin hareketi" diye etiketlemek teknik olarak yanlış, hukuken ise dosyayı zayıflatıyor: karşı taraf ilk celsede o adresin sözleşme olduğunu gösterip kümenin tamamını çürütüyor. Aynı risk stablecoin'lerde daha yüksek, çünkü dolaşımdaki arzın büyük kısmı birkaç büyük platformun cüzdanlarında duruyor ve bu cüzdanlar sürekli hareket ediyor.

Üç "sezgi"den biri aslında kanıt: kümeleme aritmetiği

Kümeleme, adresleri kişi varsayımıyla birleştirme işi. Ticari platformlar bu işi onlarca sezgiyle yapıyor ama müşteriye verdikleri raporda genellikle tek bir "küme" satırı görünüyor. Aşağıdaki tablo tipik bir raporda geçen dört sezgiyi ayırıyor; doğruluk değerleri model parametresidir, ölçülmüş istatistik değil - kendi vakanızda bu oranları satıcıdan isteyin, çünkü platformlar çoğunlukla yayımlamıyor.

Sezgi	Neyi varsayar	Doğruluk	Nerede kırılır
Ortak girdi (UTXO)	Aynı işlemde harcanan çıktıların anahtarları aynı elde	0,997 - kriptografik	Coinjoin; borsa veya ortak saklama toplu harcaması
Değişiklik çıktısı	Yeni oluşturulan adres para üstüdür	0,88 - sezgi	Tam tutar gönderimi, eşit çıktılar, sözleşme çağrısı
Yatırma adresi tekrarı	Aynı borsa adresine düşen paralar aynı müşterinin	0,93 - sezgi ve etiket	Borsa adresi değişimi, havuz adresi, yanlış etiket
Zaman korelasyonu	Birkaç saniye arayla hareket eden adresler tek elden	0,75 - sezgi	Otomasyon, toplu ödeme sistemleri, arbitraj botları

Üç sezgiyi çarparsanız 0,997 x 0,88 x 0,93 = 0,816 çıkıyor. Yani "yüzde 82 güvenle bu küme" cümlesi aslında üç ayrı tahminin bileşkesi ve bu bileşke bağımsızlık varsayıyor; oysa değişiklik ile yatırma adresi sezgileri aynı veriden beslendiği için hataları korelasyonlu. Korelasyonlu hatalarda çarpım iyimser sonuç verir: iki sezgi aynı yanlış etikete dayanıyorsa küme güveni 0,88 x 0,93 değil, tek tek 0,88'in biraz altındadır.

Rapordan isteyeceğiniz şey bu yüzden tek bir sayı değil, üç ayrı satır: hangi sezgi, hangi ağırlıkla, hangi adreslerde. Bir de şu soru: rapordaki kümelerin kaçı ortak girdi dışında hiçbir kanıta dayanmıyor? O oran yüzde 60'ın üstündeyse elinizdeki belge bir iz sürme raporu değil, bir adres listesi. Bu ayrımı yapmayan raporların ortak özelliği, failin kim olduğunu söyleyip hangi belgeyle söylediğini yazmaması.

İz derinliği: her atlama güveni nasıl çarpıyor

Fon bir adresten diğerine geçtiğinde güven kaybı tek seferlik değil, her atlamada tekrarlanıyor. Aşağıdaki tablo, atlama başına yüzde 94 ve yüzde 90 doğruluk varsayımıyla bileşik güveni gösteriyor. On atlamada ilk varsayım yüzde 54'e, ikincisi yüzde 35'e iniyor; on beş atlamada yüzde 40 ve yüzde 21.

Atlama	Güven (atlama başına 0,94)	Güven (atlama başına 0,90)	Ne anlama geliyor
1	0,940	0,900	Doğrudan transfer; tartışma yok
3	0,831	0,729	Hâlâ rapor edilebilir
5	0,734	0,590	"Muhtemelen" demeye başlıyor
7	0,648	0,478	Yazılı gerekçe şart
10	0,539	0,349	Olasılıktan düşük; tek başına yetmez
12	0,476	0,282	Yalnızca destekleyici delil
15	0,395	0,206	Dosyaya değil, istihbarata yazar

Bu tablonun pratik karşılığı şu: raporun sonundaki adresin güvenilirliği başlangıçtaki adresle aynı değil. On beş atlama sonrası bir borsa yatırma adresi gösteren rapor, "para buraya girdi" diyebilir ama "bu kişi faildir" diyemez. Borsaya yazılacak talep mektubunda tam olarak hangi atlamanın hangi gerekçeyle kurulduğu yazılı olmalı ki borsanın uyum birimi kendi tarafında kaydı bulabilsin; aksi hâlde cevap "böyle bir işlem bulunamadı" oluyor ve dosya bir kez daha beklemeye giriyor.

Değişiklik çıktısı: yanlış dala girmenin maliyeti

UTXO modelinde her işlemde iki çıktı varsa biri alıcıya, biri para üstüne gider; analist hangisinin para üstü olduğunu tahmin eder. Tahmin yüzde 88 doğruysa, beş atlamalı bir zincirde doğru dalı ilk denemede izleme olasılığı yüzde 73'e düşüyor. Aşağıdaki tablo çıktı sayısına göre bu olasılığı gösteriyor.

İşlemdeki çıktı sayısı	İlk denemede doğru dal	Beş atlama sonrası	Yanlış dalın maliyeti
2	0,94	0,734	Tek yanlış iz; sonraki adres çıkmaza giriyor
3	0,92	0,659	İki yedek dal daha; analist saati üçe katlanıyor
4	0,91	0,624	Çıkmaz adres yoğunluğu; rapor "izlenemedi" diyor

Buradaki asıl risk analistin hata yapması değil, hata yaptığını bilmemesi. Yanlış dalın bir özelliği var: düğüm sayısı hızla azalır ve birkaç atlama sonra hiç işlem görülmez. Deneyimli analist bunu "soğutma" diye yorumlayıp izi kapatır; oysa işlem görmeyen bir adres doğru dalda da normaldir. Raporda "iz şu adreste tükendi, çünkü X" yazmıyorsa, tükenme noktası bir bulgu değil, bir eksiklik olabilir. Bu cümleyi sözleşmeye koymanın maliyeti yok; sonradan sormanın maliyeti bütün rapor.

Dağıtım aritmetiği: 1.000 birim, 1.111 adres, 111 analist saati

Failerin en sık kullandığı yöntem karıştırıcı değil, basit dağıtım. Bin birimi on adrese, her birini tekrar ona bölmek iki turda bin adres üretiyor. İşin pahalı tarafı zincir değil, etiketleme: her adresin incelenmesi ve raporlanması gerekiyor.

Aşama	Adres sayısı	Adres başına tutar	Kümülatif adres	İnceleme süresi (adres başına 6 dk)
Başlangıç	1	1.000	1	0,1 saat
1. tur (10'a böl)	10	100	11	1,1 saat
2. tur (her biri 10'a)	100	10	111	11,1 saat
3. tur (her biri 10'a)	1.000	1	1.111	111,1 saat

Aynı aritmetik yüzde 2'lik soyma zincirinde farklı davranıyor: her işlemde bakiyenin yüzde 2'si ayrılırsa bakiye 34 işlemde yarıya, 113 işlemde onda bire iniyor. Yani iki strateji var - genişlik (bin adres, 111 saat) ve derinlik (113 işlem, tek zincir). Raporun bütçesi hangi stratejiyle karşılaştığınıza göre belirleniyor; sabit fiyatlı "iz sürme paketi" teklifi bu iki durumun aynı iş olmadığını ya bilmiyor ya söylemiyor.

Buradaki bir ayrıntı Türkiye'de pratik sonuç doğuruyor: dağıtımın son halkasında tutarlar küçüldüğünde adresler borsa yatırma adreslerinde birleşiyor. Bin adet bir birimlik transfer, tek bir borsa hesabında toplanmış olabilir. O hesabı bulduğunuzda geri alınabilir tutar, dağıtılan toplamın tamamı değil, o hesapta kalan bakiyedir. Rapor "1.000 birim izlendi" diyorsa mutlaka "şu anda şu hesapta şu kadar duruyor" satırını da istemelisiniz; ikisi arasındaki fark, dosyanın gerçek değeri.

Borsa yatırma adresi: izin bittiği yer ve donma penceresi

Zincir üzerinde iz, para bir borsanın yatırma adresine girdiğinde bitiyor. Ondan sonrası zincirde görünmüyor: borsa içi transfer, satış ve banka çekişi kendi veritabanında. Bu yüzden dosyanın hızı, zincir analizinin kalitesinden çok borsaya ulaşma hızına bağlı. Aşağıdaki tablo, saatte yüzde 8'in platform dışına çıktığı varsayımıyla kalan olasılığı gösteriyor - bu bir model, ölçüm değil; kendi vakanızda borsanın cevap süresini sorun.

Geçen süre	Paranın platformda kalma olasılığı	O saatte yapılabilen
1 saat	0,920	Borsa destek birimine yatırma adresi ve işlem hash'i ile yazılı başvuru
6 saat	0,606	Uyum birimi kaydı açıyor; hesap geçici kısıtlanabiliyor
12 saat	0,368	Hâlâ anlamlı; savcılık yazısı yetişirse donma şansı yüksek
24 saat	0,135	Büyük bölümü çıkmış; kalan bakiyeye tedbir
48 saat	0,018	Hesap boş; dosya ceza yargılamasına dönüşüyor
72 saat	0,002	Geri alınabilir bakiye pratikte yok

Bu tablodan çıkan tek pratik sonuç şu: ilk altı saatte yapılan bir yazılı başvuru, üçüncü günde kiralanan en iyi raporun yerini tutuyor. Çoğu mağdur sırayı ters kuruyor - önce firmayı arıyor, sonra borsayı, en son savcılığı. Borsanın uyum birimi ise elinde bir işlem hash'i ve bir başvuru olduğunda hareket ediyor; firma raporu olmadan da hareket edebiliyor. Rapora ödenen para, donmayı hızlandırmıyor; donmanın hukuki gerekçesini üretiyor. İkisini ayrı bütçe kalemleri gibi düşünmek gerekiyor.

Etiket veritabanı: "kimlik" iddiası nereden geliyor

Raporlarda geçen "bu adres şu borsaya ait" cümlesi zincirden gelmiyor; ticari etiket veritabanından geliyor. O veritabanı üç kaynakla büyüyor: borsaların kendi yayımladığı adresler, zincir üstünde gözlenen toplu harcama desenleri ve kullanıcı bildirimleri. Üçüncüsü en zayıf halka; yanlış etiketlendiğinde raporun tamamı o etikete dayandığı için çöküyor.

Etiketin doğruluğunu test etmenin pahalı olmayan bir yolu var: aynı adresi iki farklı sağlayıcıda sorgulayın. İki farklı sonuç çıkıyorsa raporda o adresin borsa adı değil, "borsa olduğu iddia edilen adres" yazması gerekir. Bir de şunu sorun: rapordaki etiketlerin kaçı borsanın kendi yayımladığı listeden, kaçı desen eşleştirmesinden geliyor? İkinci oran yüksekse borsaya yazacağınız mektup daha uzun, cevap alma olasılığı daha düşük olacak - ve o mektup dosyanın geri dönüşü olan tek adım.

Rapordaki tutar üç ayrı şey olabilir

"3,2 milyon TL değerinde varlık çalındı" cümlesi en az üç farklı hesapla kurulabiliyor ve üçü de doğru olabilir. Fark, hangi tarihin ve hangi fiyatın kullanıldığında. Bu ayrım önemli çünkü aynı sayı hem tazminat talebini hem adli para cezasının hesabını etkiliyor.

Ölçü	Hangi tarih ve fiyat	Kimi korur	Nerede kullanılır
İşlem maliyeti	Varlığın alındığı gün, ödenen TL	Mağdurun gerçek kaybı	Tazminat ve sebepsiz zenginleşme davası
Suç anındaki piyasa değeri	Transferin blok zamanı, o anki kur	Kaybın o günkü karşılığı	Ceza dosyasında "menfaat" hesabı
Rapor tarihindeki değer	Raporun yazıldığı gün	Hiçbirini tam olarak	Yalnızca bilgi amaçlı; ceza hesabına girmemeli
Zirve değer	Varlığın gördüğü en yüksek fiyat	Dosyayı abartır	Hiçbir yerde; itiraz edilirse çürür

Dördüncü satır sık görülüyor ve dosyayı bozuyor. Varlığın zirve fiyatı üzerinden hesaplanan bir "kayıp" rakamı, bilirkişi incelemesinde düşürülüyor; düşürüldüğünde yalnızca sayı değil, raporun geri kalanına duyulan güven de gidiyor. Doğru talep, üç ölçüyü tarihleriyle birlikte ayrı satırlarda vermek ve hangi hukuki sonuç için hangisinin kullanılması gerektiğini yazmak. Türk ceza hukukunda nitelikli dolandırıcılıkta adli para cezasının alt sınırı, elde edilen menfaatin iki katından az olamıyor; yani rapordaki değerleme satırı doğrudan bir yaptırım girdisi. Bu satırı şişirmek mağdurun lehine görünüyor, pratikte ise dosyanın en kolay saldırılan yerini üretiyor.

TCK 158/1-f mi, 142/2-e mi: hangi madde açılırsa delil değişir

Türkiye'de bu dosyaların çoğu "kripto dolandırıcılığı" diye anılıyor ama aynı olay üç ayrı suç tipine düşebiliyor ve hangisine düştüğü, toplamanız gereken delili değiştiriyor. Ayrımın merkezinde tek bir soru var: mağdur kandırılarak mı kendi iradesiyle gönderdi, yoksa iradesi dışında mı hesabından çıktı?

Olay örgüsü	Uygulanan tip	Kanıtlanması gereken	Pratik sonucu
Sahte yatırım platformu, "kârınızı çekmek için vergi yatırın"	TCK 158/1-f nitelikli dolandırıcılık	Hile, mağdurun tasarrufu, illiyet	Yazışma, platform arayüzü, ödeme kaydı merkezde
Borsa hesabına yetkisiz erişim, şifre ele geçirme	TCK 142/2-e bilişim yoluyla hırsızlık	Yetkisiz erişim, irade dışı çıkış	Erişim kayıtları, cihaz incelemesi, oturum logları
Sisteme girip bakiyeyi değiştirme, aldatma yok	TCK 244/4	Sistemde veri değiştirme	Sistem kayıtları; mağdur beyanı zayıf delil
Cihaz ele geçirme, sonra normal transfer	Olay örgüsüne göre 142 veya 244	Ele geçirme anı ve sonrası	Cihaz adli incelemesi belirleyici

Ceza Genel Kurulu'nun yerleşik yaklaşımı şu yönde: bilişim sistemi aldatılamaz, aldatılan insandır. Bu yüzden mağdur kandırılıp kendi elleriyle gönderdiyse dolandırıcılık; şifresi ele geçirilip iradesi dışında çekildiyse hırsızlık. Ayrım kâğıt üzerinde temiz, pratikte ise aynı olayın iki yüzü olabiliyor: fail önce kimlik avıyla şifreyi alıp sonra mağdura "onay kodu girin" derse, o onayın hileye mi yoksa yetkisiz erişime mi ait olduğu tartışılıyor. Bu tartışma sizin lehinize çözülsün istiyorsanız iki kaydı da korumak zorundasınız: yazışmanın tamamı ve hesabın oturum kayıtları. Benzer bir zincir SIM swap vakasında da kuruluyor; hat devri ile hesap ele geçirme arasındaki sıra, madde seçimini belirliyor.

Suç tipi yanlış seçildiğinde kaybettiğiniz şey zaman oluyor: dosya görevsizlik veya ek iddianame ile geri dönüyor, o arada zincirdeki para hareket etmiş oluyor. Bu yüzden suç duyurusu metninde olayı tek bir başlık altında anlatmak yerine iki alternatifi de tarih ve saatle yazmak, savcılığın doğru maddeyi seçmesini kolaylaştırıyor. Ayrıntılı anlatım için SIM swap dosyasında izlenen sıra ve kurumsal e-posta ele geçirme vakasında delil sırası yazılarındaki yöntem aynen geçerli.

Türkiye'de usul: merci, madde, süre

Teknik rapor ne kadar iyi olursa olsun, doğru mercie doğru sırayla gitmezse para durmuyor. Aşağıdaki tablo bir kripto vakasında kullanılan yolları, dayanaklarını ve tipik sürelerini gösteriyor. Satırların hiçbiri tek başına yeterli değil; birbirini besleyen bir zincir kuruyorlar.

Adım	Dayanak	Tipik süre	Çıktı
Cüzdan ve işlem delilinin dondurulması	Ekran kaydı, cüzdan yedeği, işlem hash'leri; noter onaylı çıktı	Aynı gün	Sonradan itiraz edilemeyecek başlangıç kümesi
Suç duyurusu	CMK md. 158 - kolluk veya Cumhuriyet savcılığı	1-3 gün	Soruşturma numarası
Elkoyma talebi	CMK md. 128 ve 128/A - hak ve alacaklara elkoyma	Savcılık kararı ile saatler	Borsa nezdindeki hesaba tedbir
Borsaya yazılı başvuru	Platformun kullanım şartları ve uyum birimi prosedürü	1-10 gün	Hesap kısıtı, işlem kaydı talebi
Bilgi ve belge talebi	5549 md. 6 ve 7 - MASAK'ın bilgi toplama yetkisi	Soruşturma boyunca	Kayıtların resmî yoldan gelmesi
Hukuk davası	Sebepsiz zenginleşme ve haksız fiil hükümleri	Aylar	Ceza dosyasından bağımsız tazminat

Tablonun en çok atlanan satırı birincisi. Mağdur çoğu zaman ekran görüntülerini telefonunda tutuyor, sonra cihazı değiştiriyor veya uygulamayı siliyor. Cüzdan adresinin kendisine ait olduğunu kanıtlayan şey ekran görüntüsü değil, o adresin anahtarına sahip olduğunuzu gösteren imza veya borsa kaydı. Bu yüzden delil paketi üç şeyi aynı gün toplamalı: adresin sizin olduğunu gösteren imza, gönderim anının kaydı ve karşı tarafın adresi. Bu üçü olmadan, zincirde görünen her şey bir başkasının cüzdanına ait olabilir.

MASAK'a mağdur şüpheli işlem bildirimi yapamaz

Türkçe kaynakların büyük kısmı "MASAK'a şikâyette bulunun" diyor ve bu cümle yanlış. 5549 sayılı Kanun'un 4. maddesi şüpheli işlem bildirimini yükümlülere veriyor: bankalar, ödeme kuruluşları, kripto varlık hizmet sağlayıcıları ve Kanun'da sayılan diğer kurumlar. Mağdur bu yükümlüler listesinde değil; yani MASAK'a gidip kendi adına şüpheli işlem bildirimi dosyalayamıyor. Aynı maddenin ikinci fıkrası bir adım daha ileri gidiyor: bildirim yapıldığı bilgisi, işleme taraf olanlar dahil hiç kimseye açıklanamıyor.

Bu iki fıkra birlikte okunduğunda pratik sonuç şu: sizin yapabileceğiniz şey MASAK'a bildirimde bulunmak değil, işlemi yapan kurumun kendi bildirim yükümlülüğünü yerine getirmesini sağlayacak belgeyi üretmek. Yani borsaya yazdığınız başvuru, aynı zamanda o kurumun uyum birimine "bu işlem şüpheli, değerlendirin" demiş oluyor. Kurum değerlendirmesini yapıp gerekirse bildirimi kendisi gönderiyor ve size gönderip göndermediğini söylemek zorunda değil.

Mağdurun doğrudan başvurabileceği merciler başka: Cumhuriyet savcılığı, kolluk birimleri, MASAK'ın koordinasyonunda yürüyen soruşturmalar kapsamında savcılık üzerinden ilerleyen talepler ve Ticaret Bakanlığı'na bağlı tüketici hakem heyetleri - sonuncusu yalnızca mal ve hizmet alımına ilişkin uyuşmazlıklarda. Kripto transferinde taraflar arasında bir hizmet sözleşmesi yoksa tüketici yolu kapalı. Bu ayrımı bilmemek, haftalarca yanlış kapıda beklemek demek.

Bir de süre meselesi var: yükümlünün şüpheli işlem bildirimi için öngörülen süre iş günüyle sayılıyor ve şüphenin oluştuğu andan itibaren işlemeye başlıyor. Sizin başvurunuz o şüphenin oluşma anını öne çekiyor; bu yüzden başvurunun tarih ve saati önemli. Telefonla arama yerine e-posta veya platform içi destek kaydı kullanmak, ileride "ne zaman bildirdiniz" sorusuna cevap verilebilir bir kayıt bırakıyor.

Karşı taraf platform lisanslı mı: 6362 kontrol listesi

Paranın gittiği platformun Türkiye'de yerleşik olup olmaması, dosyanın en belirleyici bilgisi ve genellikle hiç sorulmuyor. 6362 sayılı Kanun'un 35/B maddesi kripto varlık hizmet sağlayıcılarının Sermaye Piyasası Kurulu'ndan izin almasını zorunlu kılıyor; 35/C maddesi kimlik tespiti yükümlülüğünü aynı Kanun kapsamına alıyor; 109/A maddesi ise izinsiz faaliyet için hapis cezası öngörüyor. Yani "merkezi yurt dışında" diyen bir platformun Türkiye'de faaliyet gösterme biçimi hukuken tanımlı.

Kontrol	Nerede bakılır	Sonuç ne demek
SPK izni var mı	Kurulun yayımladığı kripto varlık hizmet sağlayıcı listesi	Varsa muhatabınız belli bir tüzel kişi; yazışma ve tedbir yolu açık
Kimlik tespiti yapıyor mu	6362 md. 35/C ve 5549 kapsamındaki yükümlülükler	Yapıyorsa hesabın sahibi kayıtlı; talep karşılık bulabilir
Transfer kuralları uygulanıyor mu	6362 md. 24/A ve ikincil düzenlemeler	Gönderen/alıcı bilgisi saklanıyor; iz sürme zinciri kapanıyor
Türkiye'de temsilci var mı	Şirket bilgisi, kullanım şartları, tebligat adresi	Yoksa tebligat ve icra pratikte imkânsızlaşıyor

Bu tablonun ikinci satırı, iz sürme raporunun neden bazen işe yaramadığını da açıklıyor: kimlik tespiti yapmayan bir platformda "hesabın sahibi" diye bir kayıt yok. Üçüncü satır ise yeni sayılabilecek bir düzenlemenin sonucu; transfer kuralları uygulandığında gönderen ve alıcı bilgisi platformda saklandığı için, savcılık yazısı ile o bilgiye ulaşma şansı artıyor. Karşı tarafın lisans durumunu bilmeden kiralanan her rapor, hedefi belirsiz bir ok.

Delil zinciri: sekiz kalem

Raporu teslim alırken bakacağınız sekiz kalem var. Hepsi teknik değil; üçü doğrudan sözleşmeyle ilgili. Bu liste, rapordan çok satıcıyı test ediyor.

#	Kalem	Neden gerekli	Eksikse ne olur
1	Başlangıç adresinin sahipliği kanıtı	Zincir sahiplik yazmaz	Bütün iz başkasının cüzdanından başlamış olabilir
2	Her atlama için işlem hash'i	Yeniden üretilebilirlik	Karşı taraf "göster" dediğinde cevap yok
3	Küme başına güven düzeyi ve sezgi adı	Kanıt ile tahmin ayrımı	Rapor olduğundan güçlü görünür
4	Etiket kaynağı	Yanlış etiket tüm kümeyi çürütür	İlk itirazda dosya düşer
5	Yöntem ve araç sürümü	Aynı veriyle aynı sonuca varılabilmesi	Bilirkişi farklı sonuç üretir
6	Veri çekim zamanı ve blok yüksekliği	Zincir büyüdükçe geçmiş değişmez ama görünüm değişir	Hangi ana göre yazıldığı tartışmalı olur
7	Analisti kim, hangi yetkinlikle	Bilirkişi raporuyla yarışacak belge	Mahkeme kendi bilirkişisini atar, süre uzar
8	Ham veri teslimi (makine okunur)	İkinci bir analistin doğrulaması	Rapor tek kaynak olur; doğrulanamaz

Sekizinci kalem sözleşmede en çok kısılan madde ve en çok işe yarayan madde. Ham veri teslim edilmiyorsa, raporu ancak satıcı doğrulayabilir; bu, belgeyi bilirkişi karşısında savunmasız bırakıyor. Ham veri istemek satıcıya güvensizlik değil, raporun mahkemede ayakta kalması için gereken tek koşul. Aynı ilke olay müdahalesinde de geçerli: olay müdahale planında kayıtların makine okunur tutulması, sonradan yazılan her raporun değerini belirliyor.

On soru: ödeme yapmadan önce

Aşağıdaki on soru, bir iz sürme hizmetini satın almadan önce sorulabilecek en verimli liste. İyi cevaplar kısa ve sayılı; kötü cevaplar uzun ve sıfatsız.

#	Soru	İyi cevap	Kötü cevap
1	Bu vaka için kaç saat öngörüyorsunuz?	Aralık + varsayım (ör. 40-60 saat, üç tur dağıtım varsayımıyla)	"Paket fiyatımız var"
2	Küme güvenini nasıl raporluyorsunuz?	Sezgi bazında ayrı satır	"Platformumuz yüzde 95 doğru"
3	Etiketleriniz nereden geliyor?	Kaynak dağılımı + tarih	"Kendi veritabanımız"
4	Ham veriyi teslim ediyor musunuz?	Evet, makine okunur format	"Şirket politikası gereği"
5	Borsa ile daha önce çalıştınız mı?	Hangi borsa, hangi kanaldan, ortalama cevap süresi	"Sektörde tanınıyoruz"
6	Raporu kim imzalıyor?	Ad, unvan, bilirkişilik geçmişi	"Ekibimiz"
7	Dava desteği dahil mi?	Duruşma başına ücret veya saat ücreti	"Talep edilirse konuşuruz"
8	Başarısızlık durumunda ne oluyor?	Sabit ücret + teslim edilen belge	"Geri alınan tutardan yüzde 30"
9	Veriyi nerede saklıyorsunuz?	Yurt içi veya aktarım dayanağı yazılı	Cevap yok
10	Bu vakanın ilk üç adımı ne?	Saat ve çıktı ile yazılı	"Analizle başlıyoruz"

Sekizinci satır ayrı bir yazı konusu ama kısaca: "geri alınan tutardan yüzde 30" modeli, satıcının geri alınacak bir tutar olduğuna dair bir iddiada bulunması demek. O iddia doğruysa zaten parayı biliyor; yanlışsa sizden hiçbir ücret almıyor gibi görünüp zamanınızı alıyor. Sabit ücret artı teslim edilen belge, iki taraf için de ölçülebilir tek model.

Kurtarma dolandırıcılığı: ikinci hırsızlık

Bu alanda paranın ilk kaybından sonra ikinci bir kayıp daha oluyor ve ikincisi ilkinden daha sistematik. Kurtarma dolandırıcılığının iş modeli, mağdurun çaresizliğini fiyatlıyor: zincirde gördüğü adresi gösterip "paranız burada, kurtarma ücreti şu kadar" diyor.

Senaryo	İstenen	Gerçek	Kaybedilen
"Ön ödeme ile davayı hızlandırıyoruz"	Kaybın yüzde 10-15'i peşin	Dosya açılmıyor	Ön ödeme + üç hafta
"Borsada tanıdığımız var, hesabı dondurtacağız"	Masraf + komisyon	Borsa bireysel talebe hesap bilgisi vermiyor	Masraf + savcılık için kaybedilen zaman
"Paranızı geri aldık, çekim ücreti yatırın"	Sahte platform bakiyesi karşılığı ücret	Bakiye bir ekran görüntüsünden ibaret	Ücret + kimlik bilgisi
"Sizi mağdur listesine ekledik"	Kimlik, adres, cüzdan bilgisi	Veri toplama	Sonraki hedefleme

Bu tablodaki ortak nokta şu: hiçbiri sizden bir belge istemiyor, sadece ödeme istiyor. Gerçek bir iz sürme işi sizin delilinizi ister - işlem hash'i, cüzdan adresi, tarih. Delil istemeyen teklif, teklif değil. İkinci bir kontrol daha var: aynı işlem hash'ini iki farklı firmaya verdiğinizde benzer bir ilk rapor çıkıyorsa, iş gerçekten zincirde demektir; iki firma birbirinden tamamen farklı "kümeler" gösteriyorsa en az biri uyduruyor - ve hangisi olduğunu anlamanın yolu ham veriyi istemek.

Kurtarma vaadi veren bir yazışmada size "bize güvenmek zorundasınız" deniyorsa, o cümle tek başına yeterli bir uyarı. Hiçbir analiz güven üzerine kurulmaz; doğrulanabilirlik üzerine kurulur. Aynı mantık hesap kurtarma hizmetlerinde de geçerli: hesap kurtarma yollarının hepsi platformun kendi onay akışından geçiyor, arka kapıdan değil.

Ücret neye göre değişir

Fiyat farklarının büyük kısmı kaliteden değil, kapsamdan geliyor. Aynı vakaya iki firma iki farklı fiyat verdiyse, karşılaştırılması gereken şey tutar değil, kapsam satırları.

Kalem	Neye göre artar	Neye göre azalır
İz sürme derinliği	Atlama sayısı, dağıtım turu, karıştırıcı kullanımı	Para borsaya girmişse iz orada bitiyor
Ağ sayısı	Köprü kullanımı, zincir değişimi	Tek zincir içinde kalmışsa
Belge düzeyi	Bilirkişi standardında rapor, ham veri teslimi	Yalnızca özet tablo
Dava desteği	Duruşma sayısı, bilirkişiye cevap yazımı	Rapor teslimi ile iş bitiyorsa
Acil müdahale	24 saat içinde başlama, hafta sonu	Planlı başlangıç

Fiyatı saat üzerinden kurmak iki taraf için de daha dürüst: saat, kapsam değiştiğinde otomatik olarak değişiyor. Sabit paket fiyatı ise sessizce kapsamı kısıyor - genellikle de en pahalı kalemden, yani ham veri teslimi ve dava desteğinden. Sızma testinde de aynı mekanizma çalışıyor; sızma testi fiyatlandırmasında kapsamın nasıl okunacağını aynı yöntemle anlatmıştık: satır satır kapsam, sonra fiyat.

Bu yazının yapmadığı şey

Bu metin bir iz sürme yöntemi anlatıyor ve bilerek bazı şeyleri anlatmıyor: anahtar çıkarma, hesap ele geçirme, cüzdan şifresi kırma, bir başkasının adresini kendi kontrolünüze alma. Bunların hiçbiri iz sürmenin parçası değil. Buradaki bütün adımlar ya herkese açık zincir verisiyle ya da sizin kendi delilinizle çalışıyor.

Sınırın hukuki tarafı da net: 6698 sayılı Kanun kapsamında bir kişinin kimlik bilgisine ulaşmak, onu bir platformdan talep etmek veya bir üçüncü taraftan satın almak sizin yapabileceğiniz bir iş değil. O bilgiyi yalnızca yetkili merciler, yetkili kurumlardan isteyebiliyor. Özel bir firmanın "kimlik tespiti yaptık" demesi, o tespitin size verilebileceği anlamına gelmiyor; rapor size kümeyi ve gerekçesini verir, kimliği savcılık alır. Bu ayrımı bulanıklaştıran teklifler genellikle hem hukuka hem de kendi sözleşmelerine aykırı çalışıyor.

Aynı sınır, açık kaynak istihbaratı için de geçerli: herkese açık veriyi toplamakla bir kişiyi hedef almak arasındaki çizgi, verinin niteliğinde değil kullanım amacında çiziliyor. OSINT yazısında bu çizgiyi ayrıntılı işledik. Kripto vakasında pratik kural şu: adres, işlem ve zaman herkese açık; ad, soyad, adres ve telefon değil. Raporun gücü, ikinci gruptan bir şey iddia etmeden birinci grupla ne kadar ileri gidebildiğinde.

Kapanış: takip edilecek beş sayı

Bir kripto vakasında teknik tarafı özetleyen beş sayı var. Bu beşini takip etmek, hem raporu değerlendirmek hem de süreci yönetmek için yeterli.

Sayı	Nereden gelir	Neden önemli
Atlama sayısı	Rapordaki zincir uzunluğu	Güvenin bileşik olarak düştüğü yer; 10 atlamada yüzde 54
Küme güveni	Sezgi bazında ayrı satırlar	Kanıt ile tahmin arasındaki fark
Borsaya giriş zamanı	Blok zaman damgası	Donma penceresinin başlangıcı
Hesapta kalan tutar	Borsanın yazılı cevabı	Geri alınabilir gerçek değer
Belge sayısı	Dosyadaki delil kalemleri	Bilirkişi karşısında ayakta kalma olasılığı

Bu beş sayının hiçbiri "kim yaptı" sorusuna cevap vermiyor; dördü "para nerede ve ne kadar güvenle biliyoruz", biri "ne kadar belge var". Bir raporda bu beş satır yoksa, raporun sonuç cümlesine değil, eksik olan satırlara bakmak gerekiyor. Kripto vakalarında en sık yapılan hata, ilk gün kaybedilen saatleri telafi etmeye çalışırken usulü atlamak; oysa dosyayı kazandıran şey çoğu zaman en sıkıcı belge oluyor. Kayıt tarafında da aynı disiplin gerekiyor: KVKK teknik tedbirler ve kanıt rehberi, hangi kaydın hangi iddiayı taşıyabildiğini tablo hâlinde veriyor.

Sık sorulan sorular

Çalınan kripto para geri alınır mı? Bazen, ve tamamen hıza bağlı. Para bir borsaya girdiyse ve hesap ilk saatlerde kısıtlanırsa geri alınabilir tutar anlamlı olabilir; saatteki çıkış hızı yüzde 8 varsayımıyla 24 saat sonra platformda kalma olasılığı yüzde 13,5'e, 72 saat sonra binde 2'ye iniyor. Zincirde kalan ama hiçbir borsaya girmemiş para ise teknik olarak görünür, hukuken ulaşılamaz - anahtarı elinde tutan kişiye ulaşmak ayrı bir iş.

Blockchain analiz raporu mahkemede delil olur mu? Bilirkişi raporuna destek olarak evet, tek başına değil. Raporun ciddiye alınması için üç şey gerekiyor: başlangıç adresinin size ait olduğunun kanıtı, her atlamada yeniden üretilebilir işlem hash'i ve ham veri teslimi. Ham veri yoksa raporu yalnızca satıcı doğrulayabilir; bu da bilirkişi karşısında zayıf bir konum.

MASAK'a şüpheli işlem bildirimi yapabilir miyim? Hayır. 5549 sayılı Kanun'un 4. maddesi bu bildirimi yükümlülere -bankalar, ödeme kuruluşları, kripto varlık hizmet sağlayıcıları- veriyor ve aynı maddenin ikinci fıkrası bildirimin kimseye açıklanamayacağını söylüyor. Mağdurun yolu Cumhuriyet savcılığına suç duyurusu, CMK kapsamında elkoyma talebi ve işlemi yapan kuruma yazılı başvuru.

Borsa hesabı ne kadar sürede dondurulur? İki ayrı süreç var. Platformun kendi uyum birimi, doğrulanabilir bir başvuru aldığında hesabı geçici olarak kısıtlayabiliyor; bu saatler içinde olabiliyor. Hukuki anlamda elkoyma ise savcılık kararıyla ve borsanın yazılı talebe cevap süresiyle ilerliyor. İkisini birbirine karıştırmamak gerekiyor: kısıt geçici, elkoyma kalıcı ve dosyanın asıl hedefi.

Kripto iz sürme ücreti ne kadar? Kapsama göre değişiyor ve tek bir sayı vermek yanıltıcı. Fiyatı belirleyen kalemler iz derinliği, ağ sayısı, belge düzeyi, dava desteği ve acil başlangıç. Saat üzerinden kurulan teklif, kapsam değiştiğinde kendiliğinden değiştiği için iki taraf açısından da daha dürüst; sabit paket fiyatı ise genellikle en pahalı kalemden, ham veri teslimi ve dava desteğinden kısıyor.

Adresimi kimse bilmiyor, yine de izlenebilir miyim? Evet. Zincir adresi takma adlıdır, anonim değil. Adresin kimseye söylenmemiş olması, işlem deseninizin görünmesini engellemiyor; ortak girdi, değişiklik çıktısı ve yatırma adresi tekrarı gibi sezgilerle adresler birbirine bağlanıyor. Anonimlik iddiası, adresin hiç kullanılmamasıyla değil, desenlerin kırılmasıyla ilgili.

Kripto iz sürme yasal mı? Herkese açık zincir verisini incelemek ve kendi işlemlerinizi belgelemek yasal. Yasal olmayan kısım, bir kişinin kimlik bilgisine izinsiz ulaşmak veya bir platformdan yetkisiz yollarla hesap bilgisi almak. Rapor size kümeyi ve gerekçesini verir; kimliği yalnızca yetkili merciler yetkili kurumlardan isteyebilir.

Karıştırıcı kullanan fon izlenebilir mi? Kısmen. Karıştırıcı bir havuzda fonları birleştirip dağıtıyor; çıkışta tutar ve zaman eşleştirmesi zayıflıyor, güven hızla düşüyor. Pratikte iz, havuzun girişinde ve çıkışında iki ayrı küme olarak duruyor ve aradaki bağ olasılık ifadesine dönüşüyor. Dürüst bir rapor bu noktayı "iz burada koptu" diye yazar; kopmayı gizleyip kesin bir sonuç sunan rapor, ilk itirazda çürür.