SPK Geçici Listesi Lisans Değil: Kripto Platformunuzu Nasıl Kontrol Edersiniz?

Bir kripto platformunun sitesinde “SPK listesinde” ifadesini görmek güven verici görünebilir. Ancak bu ifadeyi tam lisansla eşitlemek doğru değil. SPK'nın güncel Faaliyette Bulunanlar Listesi'nin kendi açıklaması açık: Liste, kuruluşların faaliyette bulunacaklarına dair beyanlarını kamuoyuna duyurmak için oluşturuluyor; listede yer almak, ilgili mevzuat uyarınca yetkilendirildikleri anlamına gelmiyor.

Bu ayrım, Temmuz 2026'da Türk kullanıcılar için teknik bir ayrıntı olmaktan çıktı. Platformlar saklama kuruluşlarıyla sözleşme kuruyor, bilgi sistemlerini uyumlulaştırıyor ve yetki belgesi sürecini tamamlamaya çalışıyor. SPK'nın 26 Mart tarihli kararı da, yetki belgesi ve saklama entegrasyonu için verilen sürelerin uzatıldığını gösterdi. Yani bir isim listede olabilir; fakat süreçteki aşaması, sunduğu saklama modeli ve çekim güvenliği ayrıca incelenmelidir.

Doğru soru “listede mi?” değil, “varlıklarım hangi yapıda tutuluyor ve bir sorun olursa ne yapabilirim?” olmalı. Bu yazı yatırım tavsiyesi değil; para yatırmadan ya da bakiyenizi taşımadan önce kullanabileceğiniz bir kontrol çerçevesidir.

Geçici liste, yetki belgesi ve saklama neden farklı şeylerdir?

SPK'nın Kripto Varlık Hizmet Sağlayıcılar sayfasında birden fazla süreç bulunur: faaliyette bulunanlar, tasfiye sürecinde olanlar ve başvuru süreçleri. Faaliyette bulunanlar listesi, piyasa için bir görünürlük sağlar. Buna karşılık yetki belgesi, kuruluşun düzenleyici koşulları karşıladığını gösteren ayrı bir aşamadır. Aynı ekranda görünen iki şirketin düzenleyici statüsünün birebir aynı olduğunu varsaymak bu yüzden hatalıdır.

Saklama ise üçüncü katmandır. Alım satım ekranının çalışması, kripto varlıkların anahtarlarının nerede ve kimin kontrolünde tutulduğunu anlatmaz. Bir platform kendi saklama altyapısını kullanabilir veya yetkili bir saklama kuruluşuyla çalışabilir. Kullanıcı açısından kritik olan, bu düzenlemenin şeffaf biçimde açıklanması, transfer süreçlerinin izlenebilmesi ve operasyonel kontrollerin anlaşılır olmasıdır.

Bu ayrımın pratik sonucu şudur: Geçici liste bir başlangıç kontrolüdür, bitiş çizgisi değildir. Listede görünmeyen bir oluşuma karşı ekstra temkinli olmak gerekir; listede görünen bir platform için de incelemeyi sürdürmek gerekir. “SPK onaylı” gibi pazarlama ifadeleri yerine resmi unvanı, açıklamanın tarihini ve sayfadaki dipnotları okuyun.

Para yatırmadan önce üç kaynaktan doğrulayın

Doğrulama için platformun reklamına veya sosyal medya hesabına güvenmek yerine birbirinden bağımsız kaynakları karşılaştırın. Beş dakikalık bu kontrol, yanlış alan adına para gönderme ve statüsü belirsiz bir hizmete yüksek bakiye bırakma riskini azaltır.

1. SPK'daki resmi unvanı arayın. Uygulamadaki marka adı ile SPK listesindeki tüzel kişi adı farklı olabilir. “Faaliyette Bulunanlar Listesi”ndeki adın, platformun sözleşmesinde ve iletişim sayfasında yazan unvanla eşleşip eşleşmediğine bakın. Listeyi gördüğünüzde, hemen altındaki “yetkilendirildiği anlamına gelmez” uyarısını da okuyun.
2. Saklama ve varlık ayrıştırma açıklamasını bulun. Kullanım koşullarında ya da risk bildiriminde kripto varlıkların nerede tutulduğu, sıcak cüzdan kullanımı, çekim onayları ve hizmet kesintisi halinde iletişim yöntemi anlatılmalı. Belirsiz metinler veya sadece “askeri düzeyde güvenlik” gibi ölçülemeyen ifadeler kırmızı bayraktır.
3. Çekim yolunu küçük tutarla deneyin. Yeni bir adrese ilk kez yüksek tutar göndermeyin. Adres doğrulaması, iki faktörlü doğrulama, çekim bekletme süresi ve işlem kaydı gibi adımları küçük bir miktarla test edin. Bu, hem hatalı ağ seçimini hem de hesap ele geçirilmesi halinde yaşanacak paniği azaltır.

Bir platformun listede olması, kendi cüzdan güvenliğinizin yerine geçmez. E-posta hesabınız ele geçirilmişse veya SMS ile gelen kodlar SIM değiştirme saldırısına açıksa, düzenleyici statü tek başına hesabınızı korumaz. Uygulama tabanlı iki faktörlü doğrulama, güçlü ve benzersiz parola ile çekim adresi beyaz listesi, platform seçiminden bağımsız temel savunmalardır.

Marka adındaki küçük farkları da ciddiye alın. Dolandırıcılar, gerçek bir platformun adını bir harf değiştirerek uygulama mağazalarında, arama reklamlarında ve sosyal medya hesaplarında taklit edebilir. Bu nedenle listede bir isim bulmanız tek başına yeterli değildir: Uygulamayı indirdiğiniz yayıncı adı, tarayıcıda açılan alan adı ve sözleşmede yazan şirket unvanı birbirini doğrulamalıdır. Arama motorunda çıkan ilk reklama tıklamak yerine, daha önce kaydettiğiniz resmi adresi veya SPK sayfasından ulaştığınız kurumsal bilgiyi kullanın.

Bir başka ayrıntı da müşteri hizmetleri kanalıdır. Destek ekibi gibi davranan kişiler hesap ele geçirme girişimlerinde çoğunlukla acele hissi yaratır: “Hesabınız kapanacak”, “uyum doğrulaması son gününde” veya “çekiminiz bloke oldu” gibi cümleler kullanırlar. Resmi uygulama içi destek kaydı açmadan gelen mesajlarda bağlantı, QR kodu ya da uzaktan erişim yazılımı talebi varsa görüşmeyi sonlandırın. Gerçek bir platform, seed ifadenizi, tek kullanımlık kodunuzu veya ekran paylaşımını istemez.

Süreç uzarken hangi riskler değişmez?

Süre uzatımı kullanıcıya “hiçbir şey yapmaya gerek yok” mesajı vermez. Düzenleyici takvimler güncellenebilir; sahte siteler, destek adı altında mesaj atan dolandırıcılar ve acele ettiren çekim talepleri ise takvimi beklemez. Özellikle Telegram ve WhatsApp'ta gönderilen “SPK doğrulaması için varlığınızı şu cüzdana aktarın” mesajları, resmi bir süreç değil dolandırıcılık işaretidir. Hiçbir meşru doğrulama, sizden seed ifadenizi veya varlık transferinizi istemez.

Türkiye'de kripto hizmet sağlayıcıları için çerçeve olgunlaşırken kullanıcının kayıt tutması da önem kazanır. Yatırma-çekme makbuzlarını, alım satım geçmişini ve varlık transferlerinin işlem kimliklerini saklayın. Bir uyuşmazlıkta yalnızca ekran görüntüsüne değil, tarihli kayıt zincirine ihtiyaç duyabilirsiniz. Kripto güvenliğinde insan hedefli saldırıların neden öne çıktığını Q2 güvenlik değerlendirmemizde ayrıntılı ele aldık.

Platform değiştirmek veya bakiye azaltmak isterseniz, bunu acele bir tek işlem yerine kontrollü bir süreç olarak yapın. Önce hedef cüzdanın ağı ve adresi doğrulanır; sonra küçük bir deneme transferi yapılır; bu transfer zincir üzerinde onaylandıktan sonra kalan tutar için yeniden adres kontrolü yapılır. USDT gibi aynı isimle farklı ağlarda bulunabilen varlıklarda, gönderici ve alıcı tarafın ağ seçiminin eşleşmesi özellikle önemlidir. Yanlış ağa yapılan transferin geri alınması her zaman mümkün değildir.

Varlıkları kişisel cüzdana çekmek de yeni sorumluluklar getirir. Kurtarma ifadesini telefon notlarına, bulut depolamaya ya da mesajlaşma uygulamasına koymak, borsa hesabındaki riski farklı bir riske dönüştürür. Donanım cüzdanı kullanan bir kişi bile cihazın kendisini değil, kurtarma ifadesini koruduğunu unutmamalıdır. Bu ifadeyi çevrimdışı tutmak, yedeğini güvenli bir yerde saklamak ve hiç kimseyle paylaşmamak gerekir. Hangi saklama modelinin size uygun olduğu; işlem sıklığınıza, teknik deneyiminize ve hata yapma riskinizi yönetebilmenize bağlıdır.

Bu nedenle “platform mu, kişisel cüzdan mı?” sorusu tek kelimelik bir cevap taşımaz. Aktif işlem için gerekli küçük tutar ile uzun vadeli birikimi ayırmak, hem erişim hem de tek noktada yoğunlaşma riskini azaltabilir. Ne seçerseniz seçin, önce geri alma prosedürünü, cihaz kaybı senaryosunu ve hesabın yetkisiz erişim durumunda nasıl dondurulacağını öğrenin.

Bugün yapabileceğiniz kısa kontrol

Kullandığınız her platform için resmi tüzel unvanı SPK sayfasında karşılaştırın; ardından saklama ve çekim güvenliği belgelerini kaydedin. Son olarak hesabınızda uygulama tabanlı 2FA, tanınmayan cihaz uyarısı ve çekim adresi doğrulamasını etkinleştirin. Varlıkları uzun süre tutuyorsanız, çevrimiçi hesabınızda kalması gereken tutarı ayrıca sorgulayın.

SPK listesi yararlı bir sinyaldir; fakat bir güvenlik sertifikası veya otomatik lisans kanıtı değildir. Sürecin resmi açıklamasını, platformun gerçek tüzel kişisini ve kendi hesap güvenliğinizi birlikte kontrol etmek, tek bir etikete güvenmekten çok daha sağlam bir yaklaşım sunar.