Saklama Hizmetleri ve Dijital Varlık Yönetimi: Teknik Rehber

Saklama (custody) hizmeti, finansal varlıkların müşteri adına güvenle tutulması ve yönetilmesidir. Bu iş eskiden fiziksel menkul kıymetlerin ve kayıtların korunması demekti; bugün buna kripto varlıklar ve tokenize edilmiş varlıklar da eklendi. Fintech ürünü geliştiren ekipler için saklama altyapısını anlamak, güvenli ve mevzuata uygun bir platform kurmanın ön koşulu.

Saklama sisteminden beklenenler

Geleneksel ya da dijital, bir saklama sisteminin beş temel gereksinimi vardır:

• Güvenlik: varlıklara ve anahtarlara yetkisiz erişimi önlemek
• Uyum: faaliyet gösterilen ülkenin mevzuatına uymak
• Erişilebilirlik: güvenliği bozmadan varlıklara zamanında erişim
• Denetlenebilirlik: her işlemin eksiksiz izinin tutulması
• Ölçeklenebilirlik: büyüyen işlem ve varlık hacmini taşıyabilmek

Geleneksel saklamada iş, portföy yönetim şirketi, saklayıcı kurum ve merkezi kayıt kuruluşu arasındaki talimat, mutabakat ve raporlama akışıdır. Dijital varlıklarda buna bir de özel anahtarların korunması eklenir: anahtarı ele geçiren, varlığı da ele geçirir ve işlem geri alınamaz.

Dijital varlık saklamanın mimarisi

Dijital varlık saklama platformları genellikle sıcak ve soğuk saklamayı birlikte kullanır. Sıcak cüzdan anlık ihtiyaç için varlıkların küçük bir kısmını çevrim içi tutar; varlıkların büyük kısmı çevrim dışı soğuk saklamada, çoğunlukla çok imzalı yapılarla korunur.

Temel bileşenler:

1. Anahtar yönetimi: anahtarların üretilmesi, saklanması ve gerektiğinde yenilenmesi tek bir serviste toplanır. Özel anahtarlar donanım güvenlik modüllerinde (HSM) tutulur ve modülden dışarı çıkarılamaz.

2. Çok imzalı cüzdanlar (multi-sig): tek bir anahtar sahibine güvenmek yerine işlemi birden fazla tarafın onaylaması gerekir. Örneğin 2/3 şemasında üç anahtar sahibinden herhangi ikisinin onayı olmadan çekim yapılamaz. Çok taraflı hesaplama (MPC), aynı sonucu tek bir anahtarı hiçbir yerde bir araya getirmeden sağlayan bir alternatiftir.

3. Zincir arayüzü: her blokzincirinin onay süresi, ücret modeli ve kesinlik (finality) kuralları farklıdır. Bir işlemin “tamamlandı” sayılması için kaç blok onayı bekleneceği varlık bazında tanımlanmalıdır.

Onay akışı: kod yerine politika

Saklamada en kritik kod, varlığın kimin onayıyla hareket edebileceğini belirleyen koddur. Bu kural bir kişinin elinde değil, yazılı bir politikada durmalı:

from dataclasses import dataclass, field

@dataclass
class WithdrawalPolicy:
    required_approvals: int            # örneğin 2
    approver_roles: set[str]           # örneğin {"operations", "risk", "compliance"}
    max_amount_without_committee: int  # bu tutarın üstü komite ister

@dataclass
class Withdrawal:
    id: str
    amount_minor: int
    requested_by: str
    approvals: dict[str, str] = field(default_factory=dict)  # kullanıcı -> rol

    def approve(self, user: str, role: str, policy: WithdrawalPolicy) -> None:
        if user == self.requested_by:
            raise PermissionError("Talep eden kendi talebini onaylayamaz")
        if role not in policy.approver_roles:
            raise PermissionError("Bu rol onay veremez")
        if role in self.approvals.values():
            raise PermissionError("Aynı rolden ikinci onay sayılmaz")
        self.approvals[user] = role

    def is_releasable(self, policy: WithdrawalPolicy) -> bool:
        return len(self.approvals) >= policy.required_approvals

Bu modelde görevler ayrılığı koda gömülüdür: talep eden onaylayamaz, aynı rolden iki onay sayılmaz. Her onay, kim ve ne zaman bilgisiyle değiştirilemez bir denetim kaydına yazılır.

Kullanım alanları

Kurumsal kripto varlık saklama: kurumlar, varlıklarını hava boşluklu (air-gapped) sistemler, coğrafi dağıtım ve çok taraflı onayla korunan saklayıcılarda tutar.

Tokenize varlıklar: hisse senedi, tahvil ya da gayrimenkul gibi geleneksel varlıklar blokzincir üzerinde temsil edildiğinde saklayıcı hem zincir üzerindeki tokenı hem de dayanak varlığı yönetmek zorundadır.

Çok zincirli yönetim: varlıklar birden fazla ağa yayıldıkça zincirler arası mutabakat ayrı bir iş hâline gelir.

Güvenlik ilkeleri

1. Katmanlı savunma: tek bir korumaya güvenmeyin. Şifreleme, çok imzalı onay, HSM ve coğrafi dağıtım birlikte kullanılır.

2. Görevler ayrılığı: hiçbir kişi kritik bir işlemi tek başına yapamamalı. Anahtar üretimi, saklama ve serbest bırakma farklı ekiplerde olmalı.

3. Düzenli bağımsız denetim: sızma testi, kod incelemesi ve operasyonel güvenlik değerlendirmesi üçüncü taraflarca yapılmalı.

4. Felaket kurtarma: anahtar yedekleri coğrafi olarak dağıtılmalı ve kurtarma prosedürü düzenli olarak prova edilmeli. Prova edilmemiş yedek, yedek değildir.

5. Mutabakat: zincir üzerindeki bakiye ile iç kayıtlar her gün karşılaştırılmalı; fark otomatik alarma dönüşmeli.

Mevzuat

Saklama hizmeti her ülkede sıkı düzenlenir ve kurallar sık değişir. Türkiye’de sermaye piyasası araçlarının saklanması Sermaye Piyasası Kurulu (SPK) düzenlemelerine tabidir ve kayıt Merkezi Kayıt Kuruluşu (MKK) nezdinde tutulur. Kripto varlık hizmet sağlayıcıları da 2 Temmuz 2024’te yürürlüğe giren 7518 sayılı Kanun’la Sermaye Piyasası Kanunu kapsamına alındı; kripto varlık saklama dahil bu faaliyetler artık SPK izni gerektiriyor. Yurt dışında ABD’de SEC, İsviçre’de FINMA, Birleşik Krallık’ta FCA, Singapur’da MAS ve AB’de MiCA tüzüğü benzer çerçeveler çizer.

Bu yazı hukuki görüş değildir. Platformu tasarlarken uyum ekibiyle birlikte çalışın ve güncel mevzuatı her seferinde birincil kaynaktan doğrulayın; şüpheli işlem izleme, raporlama ve müşteri bilgilendirme kuralları mimariyi doğrudan etkiler.

Ölçeklenebilir altyapı

Servislere ayırmak: anahtar yönetimi, zincir arayüzü, mutabakat, denetim ve müşteri API’si ayrı servisler olursa her biri kendi ihtiyacına göre ölçeklenir ve en hassas bileşen (anahtar yönetimi) en dar ağda kalır.

Olay güdümlü kayıt: her talimat, onay ve hareket bir olay olarak kaydedilir; denetim izi ve mutabakat bu olaylardan üretilir.

Katman 2 çözümleri: sık yapılan küçük işlemler için ödeme kanalları ya da yan zincirler kullanılıp ana zincire dönemsel uzlaşma yapılabilir; bu ücretleri düşürür ama ek bir güven katmanı ekler.

Sonuç

Dijital varlık saklama, geleneksel bankacılığın güvenlik, uyum ve operasyon disiplinini blokzincir bilgisiyle birleştirmeyi gerektirir. Başarılı platformlar, güvenlik ile kullanılabilirliği, uyum ile yeniliği dengeleyenler olacak.

Saklama ya da fintech altyapısı tasarlıyorsanız bize yazın.