Kripto Cüzdan Güvenliği Rehberi: Varlıklarınızı Nasıl Korursunuz
2026 yılında kripto cüzdan güvenliği kayıpları 713 milyon doları aştı. Coldcard donanım cüzdanı firmware hatası 130 milyon dolar zarara yol açtı ve 5.200'den fazla adres boşaltıldı. Bu rakamlar kripto cüzdan güvenliği konusunun ne kadar kritik olduğunu gösteriyor. Türk yatırımcılar için MASAK ve SPK düzenlemeleri belli koruma sağlasa da DeFi ve self-custody kullanımında sorumluluk tamamen kullanıcıda.
Bu rehber kripto cüzdan güvenliği temellerini sıfırdan açıklıyor. Hot wallet, cold wallet ve hardware wallet arasındaki farklar, private key yönetimi, phishing saldırılarından korunma ve Türkiye'deki düzenleyici çerçeve detaylı şekilde ele alınıyor.
Cüzdan Türleri ve Güvenlik Seviyeleri
Kripto cüzdan güvenliği stratejisi cüzdan türü seçimiyle başlıyor. Her türün avantajları ve riskleri var.
Hot Wallet (Sıcak Cüzdan): MetaMask, Trust Wallet ve borsalardaki cüzdanlar bu kategoride. İnternete sürekli bağlı oldukları için kullanımı kolay ama kripto cüzdan güvenliği açısından en riskli. Günlük kullanım için küçük miktarlar tutulmalı. Türkiye'deki SPK lisanslı platformlarda tutulan fonlar belli düzenlemeye tabi ama sigorta yok.
Cold Wallet (Soğuk Cüzdan): İnternetten bağlantısı kesilmiş cüzdan. Bir bilgisayarda cüzdan oluşturup seed phrase'i kağıda yazıp bilgisayarı formatlamak cold wallet yaratır. Kripto cüzdan güvenliği maksimum ama kullanımı zahmetli. Uzun vadeli tutma için ideal.
Hardware Wallet (Donanım Cüzdanı): Ledger ve Trezor gibi fiziksel cihazlar. Private key cihazdan çıkmıyor ve işlemler cihazda imzalanıyor. Kripto cüzdan güvenliği açısından dengeli çözüm. Ancak Coldcard vakası donanım cüzdanlarının da kusursuz olmadığını gösterdi. Firmware güncellemeleri takip edilmeli.
Private Key ve Seed Phrase Yönetimi
Kripto cüzdan güvenliği temeli private key kontrolündedir. "Not your keys, not your coins" prensibi her zaman geçerli.
Seed Phrase Nedir: 12 veya 24 kelimelik kurtarma cümlesi tüm cüzdanı restore edebiliyor. Bu kelimeler kaybolursa veya çalınırsa fonlara erişim tamamen kaybedilir. Seed phrase'i dijital ortamda saklamak en büyük hata. Telefon fotoğrafı, bulut depolama, email taslağı kesinlikle kullanılmamalı.
Güvenli Saklama Yöntemleri: Metal plakaya kazımak yangın ve su hasarına karşı koruyor. Cryptosteel gibi ürünler bu amaçla üretiliyor. Seed phrase birden fazla güvenli yerde saklanmalı ama her kopya risk yaratıyor. İki kopya ideal: biri evde, biri banka kasasında.
Shamir Secret Sharing: Seed phrase'i parçalara bölme yöntemi. Örneğin 3'ten 2'si gerekli şekilde ayarlanabilir. Bir parça kaybolsa bile kalan ikisiyle erişim sağlanır. Trezor Model T bu özelliği destekliyor. Kripto cüzdan güvenliği için ileri seviye koruma.
Phishing ve Sosyal Mühendislik Saldırıları
2026'da kripto kayıplarının çoğunluğu sosyal mühendislikten kaynaklandı. Lazarus Grubu 575 milyon dolar böyle çaldı. Kripto cüzdan güvenliği teknik önlemler kadar farkındalık gerektiriyor.
Sahte Web Siteleri: Google arama sonuçlarında bile sahte siteler çıkabiliyor. Saldırganlar reklam alıp gerçek sitelerin üzerine çıkıyor. URL'yi harf harf kontrol etmek şart. Resmi siteler bookmark'lara kaydedilmeli ve her zaman bookmark'tan açılmalı.
Discord ve Telegram Scam'leri: Admin gibi davranan hesaplar DM atıyor. "Cüzdanını doğrula" veya "airdrop için bağlan" diyorlar. Gerçek adminler asla DM atmaz. Tüm DM'ler varsayılan olarak scam kabul edilmeli.
Approval Phishing: Sahte bir DeFi sitesine cüzdan bağlanıyor ve kullanıcı "approve" işlemi yapıyor. Bu onay saldırgana token transfer yetkisi veriyor. İşlem imzalamadan önce ne onaylandığı kontrol edilmeli. Revoke.cash gibi araçlar gereksiz approval'ları iptal ediyor.
Multi-Sig Cüzdanlar ve Güvenlik Artırma
Multi-sig cüzdanlar birden fazla imza gerektiriyor ve kripto cüzdan güvenliği seviyesini artırıyor.
2-of-3 Konfigürasyon: Üç private key var ama işlem için iki tanesi yeterli. Bir key kaybolsa bile fonlara erişim var. Bir key çalınsa bile tek başına işlem yapamıyor. Gnosis Safe en popüler multi-sig çözümü.
Kurumsal Kullanım: Şirketler için multi-sig zorunlu. Tek kişinin kontrolünde milyon dolarlık fon tutmak kabul edilemez risk. Üç yöneticiden ikisi gerekli şeklinde ayarlanabilir.
Karmaşıklık Riski: Multi-sig kullanımı hataya açık. Yanlış adrese gönderim geri alınamıyor. Test işlemleri küçük miktarlarla yapılmalı. Setup süreci dikkatle tamamlanmalı.
Türkiye'deki Düzenleyici Çerçeve
MASAK ve SPK düzenlemeleri kripto cüzdan güvenliği yaklaşımını etkiliyor.
MASAK 72 Saat Kuralı: Kripto varlık platformları cüzdana transferlerde 72 saat bekleme uygulayabiliyor. Bu kural ani çıkışları zorlaştırıyor ama kripto cüzdan güvenliği artırıyor. Şüpheli işlem tespit edilirse platform müdahale edebiliyor.
15 Bin TL Bildirim Sınırı: 15 bin TL üzeri işlemler MASAK'a bildiriliyor. Bu kural kara para aklamayı hedefliyor ama tüm kullanıcıları etkiliyor. Büyük miktarda pozisyon alırken bu sınır göz önünde bulundurulmalı.
SPK Lisanslı Platformlar: Geçici listede yer alan platformlar henüz tam lisans almadı. Bu platformlarda tutulan fonlar için sigorta yok. Platform batarsa veya hack edilirse kullanıcı kaybını kendisi karşılıyor. Self-custody alternatifi bu riski ortadan kaldırıyor ama sorumluluk getiriyor.
DeFi Kullanımında Güvenlik
DeFi protokolleri kripto cüzdan güvenliği için ekstra risk yaratıyor.
Smart Contract Riski: DeFi protokolü hack edilirse bağlı cüzdanlar risk altında. Sadece güvenilir ve audit edilmiş protokoller kullanılmalı. TVL büyüklüğü güvenlik göstergesi. Yeni protokollere büyük miktar yatırmaktan kaçınılmalı.
Approval Yönetimi: Her DeFi işlemi token approval gerektiriyor. Bu approval'lar süresiz geçerli kalabiliyor. Revoke.cash veya Etherscan'deki revoke özelliği kullanılmadan approval'lar iptal edilmeli. Kullanılmayan protokollere unlimited approval bırakmak risk.
Separate Wallet Stratejisi: DeFi için ayrı cüzdan kullanmak ana fonları koruyor. Bir DeFi protokolü hack edilirse sadece o cüzdandaki miktar risk altında. Bu yaklaşım kripto cüzdan güvenliği için öneriliyor.
Acil Durum Planı
Kripto cüzdan güvenliği ihlali durumunda hızlı hareket etmek gerekiyor.
Compromised Wallet: Seed phrase veya private key ele geçirildiyse cüzdan artık güvenli değil. Hemen yeni cüzdan oluşturulmalı ve fonlar transfer edilmeli. Saldırgan genelde hemen boşaltmıyor, bazen bekliyor. Dakikalar kritik.
Approval İptali: Şüpheli bir siteye approval verildiyse Revoke.cash'ten iptal edilmeli. Gas ücreti ödemeye değer çünkü unlimited approval sınırsız çekime izin veriyor.
Donanım Cüzdanı Firmware: Coldcard firmware hatası gibi durumlar ortaya çıkarsa üretici duyurularını takip etmek gerekiyor. Etkilenilen cihazlardaki fonlar hemen yeni cüzdana taşınmalı.
Sonuç ve Öneriler
Kripto cüzdan güvenliği teknik bilgi ve disiplin gerektiriyor. 2026'da 713 milyon dolarlık kayıp bu konunun ciddiyetini gösteriyor. Türk yatırımcılar MASAK ve SPK düzenlemelerinin sağladığı korumayı anlayarak bilinçli karar vermeli.
Büyük miktarlar hardware wallet'ta tutulmalı ama üretici güvenliği araştırılmalı. Seed phrase metal plakaya kazınmalı ve güvenli yerlerde saklanmalı. Phishing saldırılarına karşı URL kontrolü ve DM'lere güvenmeme prensibi uygulanmalı. DeFi kullanımında approval yönetimi ve ayrı cüzdan stratejisi kripto cüzdan güvenliği artırıyor.